Fortinet FortiMail: RCE critica CVE-2026-104286 già sfruttata

Il 1° ottobre 2026 Fortinet ha pubblicato il bollettino FG-IR-26-175 su una vulnerabilità critica di FortiMail, il suo gateway di sicurezza per la posta elettronica. La vulnerabilità, CVE-2026-104286, ha un punteggio CVSS 3.1 di 9.8 e permette a un attaccante remoto non autenticato di scrivere file arbitrari sul sistema e di arrivare all’esecuzione di codice. Fortinet indica che è già sfruttata, e lo stesso giorno la CISA l’ha inserita nel catalogo Known Exploited Vulnerabilities (KEV).

Nei giorni successivi hanno pubblicato avvisi diversi CSIRT nazionali: in Europa il CERT-FR, l’NCSC-NL, il CERT-SE, l’NCSC-FI e INCIBE-CERT, oltre al Canadian Centre for Cyber Security.

Cosa è successo

Secondo gli avvisi, il difetto si trova nella gestione dei percorsi dei file di FortiMail. Un attaccante può inviare all’apparato richieste HTTP o HTTPS costruite apposta e scrivere file fuori dalla cartella prevista, senza bisogno di credenziali. Il CERT-FR classifica il rischio come esecuzione di codice arbitrario a distanza; INCIBE-CERT precisa che la scrittura dei file può portare all’esecuzione di codice o di comandi non autorizzati e alla compromissione del dispositivo.

Per l’NCSC-FI, uno sfruttamento riuscito può permettere di compromettere il sistema FortiMail, installarvi software malevolo e leggere o manipolare il traffico di posta senza autorizzazione. Il CERT-FR riferisce che il bollettino di Fortinet contiene anche indicatori di compromissione.

Dettagli tecnici

• CVE: CVE-2026-104286, CVSS 3.1 9.8 (critica).
• Tipo di difetto: path traversal (CWE-22, limitazione impropria di un percorso a una cartella riservata). L’NCSC-FI indica anche la neutralizzazione impropria del carattere NULL (CWE-158).
• Vettore: rete, tramite richieste HTTP o HTTPS, senza autenticazione. Il CERT-SE indica che la vulnerabilità riguarda l’interfaccia di gestione di FortiMail.
• Versioni colpite (secondo CERT-SE, NCSC-FI e INCIBE-CERT):
  • FortiMail 8.0 dalla 8.0.0 alla 8.0.1;
  • FortiMail 7.6 dalla 7.6.0 alla 7.6.6;
  • FortiMail 7.4 dalla 7.4.0 alla 7.4.8;
  • FortiMail 7.2 dalla 7.2.0 alla 7.2.9.
• Versioni corrette: 8.0.2, 7.6.7 e 7.4.9 o successive. Per il ramo 7.2 non è prevista una correzione: va migrato al ramo 7.4, alla 7.4.9 o successiva.
• FortiMail Cloud: secondo INCIBE-CERT, Fortinet lo ha corretto il 5 ottobre 2026 e i clienti non devono fare nulla.
• Sfruttamento: confermato da Fortinet e dalla CISA. Per la CISA l’uso in campagne ransomware, al momento, non è noto. La scadenza fissata per le agenzie federali statunitensi era il 4 ottobre.
• MITRE ATT&CK: lo sfruttamento di un servizio esposto corrisponde a T1190 (Exploit Public-Facing Application).

Un dettaglio sulle date: l’avviso del CERT-FR del 2 ottobre indicava le versioni correttive come di prossima pubblicazione, mentre l’avviso di INCIBE-CERT dell’8 ottobre indica di aggiornare a queste versioni. Prima di pianificare l’intervento, verifica sul bollettino di Fortinet quali build sono disponibili per il tuo ramo.

Le classificazioni degli enti

Gli enti concordano sulla gravità, con sfumature diverse. L’NCSC-NL ha classificato il suo avviso (NCSC-2026-0398) come M/H: probabilità media e danno alto. Il CERT-SE e l’NCSC-FI parlano di vulnerabilità critica e attivamente sfruttata, e INCIBE-CERT le assegna il livello di importanza più alto della sua scala (5, critica).

Impatto per le aziende europee e italiane

FortiMail è un gateway di sicurezza per la posta elettronica: i messaggi dell’organizzazione passano da lì. Per questo, come sottolinea l’NCSC-FI, un apparato compromesso non è solo un sistema in mano all’attaccante, ma anche un accesso al contenuto della posta e la possibilità di alterarla. Lo sfruttamento non richiede credenziali: conta soltanto se l’interfaccia vulnerabile è raggiungibile.

Per i soggetti che rientrano nella NIS2, la compromissione del gateway di posta è un incidente da valutare per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Lo stesso vale per le strutture sanitarie, dove la posta trasporta spesso dati personali e clinici.

Cosa fare subito

1. Inventario: individua tutti gli apparati FortiMail, fisici e virtuali, e la versione installata su ciascuno.
2. Aggiorna: porta il ramo 8.0 alla 8.0.2, il 7.6 alla 7.6.7 e il 7.4 alla 7.4.9, o a versioni successive. Gli apparati sul ramo 7.2 vanno migrati alla 7.4.9 o successiva.
3. Se non puoi aggiornare subito: Fortinet raccomanda di disattivare la funzione IBE (Identity-Based Encryption). In alternativa, blocca l’accesso da Internet all’interfaccia di gestione e consentilo solo da reti interne fidate; INCIBE-CERT cita anche l’interfaccia di webmail tra quelle da limitare a reti fidate.
4. Cerca segni di compromissione: confronta gli apparati con gli indicatori di compromissione pubblicati da Fortinet nel bollettino FG-IR-26-175. Il CERT-SE raccomanda di cercare comportamenti anomali seguendo le indicazioni del produttore, di esaminare i log degli ultimi 3 mesi e di controllare i cron job alla ricerca di script sospetti.
5. Se trovi tracce: tratta l’apparato come compromesso, segui le indicazioni di Fortinet e valuta gli obblighi di notifica previsti per la tua organizzazione.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a scoprire se un’interfaccia di gestione è raggiungibile da fuori. ARX Sentry raccoglie in un collettore centrale i log dei firewall e degli altri dispositivi di rete, così accessi e connessioni anomale restano sotto gli occhi degli analisti. Con ARX Horizon puoi consultare dal portale i dettagli delle vulnerabilità e cercare gli indicatori di compromissione.

Ultimo aggiornamento: 8 ottobre 2026