Fortinet FortiMail: RCE critică CVE-2026-104286, deja exploatată

Pe 1 octombrie 2026, Fortinet a publicat buletinul FG-IR-26-175 despre o vulnerabilitate critică în FortiMail, gateway-ul său de securitate pentru e-mail. Vulnerabilitatea, CVE-2026-104286, are un scor CVSS 3.1 de 9.8 și permite unui atacator de la distanță, neautentificat, să scrie fișiere arbitrare în sistem și să ajungă la execuția de cod. Fortinet arată că vulnerabilitatea este deja exploatată, iar în aceeași zi CISA a inclus-o în catalogul Known Exploited Vulnerabilities (KEV).

În zilele următoare au publicat avertismente mai multe CSIRT-uri naționale: în Europa CERT-FR, NCSC-NL, CERT-SE, NCSC-FI și INCIBE-CERT, precum și Canadian Centre for Cyber Security.

Ce s-a întâmplat

Potrivit avertismentelor, defectul se află în modul în care FortiMail gestionează căile fișierelor. Un atacator poate trimite echipamentului cereri HTTP sau HTTPS special construite și poate scrie fișiere în afara directorului prevăzut, fără credențiale. CERT-FR clasifică riscul drept execuție de cod arbitrar de la distanță; INCIBE-CERT precizează că scrierea fișierelor poate duce la execuția de cod sau de comenzi neautorizate și la compromiterea dispozitivului.

Potrivit NCSC-FI, o exploatare reușită poate permite compromiterea sistemului FortiMail, instalarea de software rău intenționat și citirea sau manipularea traficului de e-mail fără autorizare. CERT-FR arată că buletinul Fortinet conține și indicatori de compromitere.

Detalii tehnice

• CVE: CVE-2026-104286, CVSS 3.1 9.8 (critică).
• Tipul defectului: path traversal (CWE-22, limitarea incorectă a unei căi la un director restricționat). NCSC-FI indică și neutralizarea incorectă a caracterului NULL (CWE-158).
• Vector: rețea, prin cereri HTTP sau HTTPS, fără autentificare. CERT-SE arată că vulnerabilitatea afectează interfața de administrare a FortiMail.
• Versiuni afectate (potrivit CERT-SE, NCSC-FI și INCIBE-CERT):
  • FortiMail 8.0, de la 8.0.0 la 8.0.1;
  • FortiMail 7.6, de la 7.6.0 la 7.6.6;
  • FortiMail 7.4, de la 7.4.0 la 7.4.8;
  • FortiMail 7.2, de la 7.2.0 la 7.2.9.
• Versiuni corectate: 8.0.2, 7.6.7 și 7.4.9 sau ulterioare. Pentru ramura 7.2 nu este prevăzută o corecție: trebuie migrată la ramura 7.4, la 7.4.9 sau ulterioară.
• FortiMail Cloud: potrivit INCIBE-CERT, Fortinet l-a corectat pe 5 octombrie 2026, iar clienții nu trebuie să facă nimic.
• Exploatare: confirmată de Fortinet și de CISA. Pentru CISA, folosirea în campanii ransomware nu este cunoscută deocamdată. Termenul stabilit pentru agențiile federale americane era 4 octombrie.
• MITRE ATT&CK: exploatarea unui serviciu expus corespunde tehnicii T1190 (Exploit Public-Facing Application).

Un detaliu despre date: avertismentul CERT-FR din 2 octombrie indica versiunile corectate ca urmând să fie publicate, în timp ce avertismentul INCIBE-CERT din 8 octombrie recomandă actualizarea la aceste versiuni. Înainte să planifici intervenția, verifică în buletinul Fortinet ce build-uri sunt disponibile pentru ramura ta.

Clasificările agențiilor

Agențiile sunt de acord asupra gravității, cu nuanțe diferite. NCSC-NL și-a clasificat avertismentul (NCSC-2026-0398) drept M/H: probabilitate medie și daună mare. CERT-SE și NCSC-FI vorbesc despre o vulnerabilitate critică și exploatată activ, iar INCIBE-CERT îi atribuie cel mai înalt nivel de importanță din scala sa (5, critică).

Impactul pentru companiile europene și italiene

FortiMail este un gateway de securitate pentru e-mail: mesajele organizației trec prin el. De aceea, așa cum subliniază NCSC-FI, un echipament compromis nu este doar un sistem în mâinile atacatorului, ci și un acces la conținutul e-mailurilor și posibilitatea de a-l modifica. Exploatarea nu necesită credențiale: contează doar dacă interfața vulnerabilă poate fi accesată.

Pentru entitățile care intră sub incidența NIS2, compromiterea gateway-ului de e-mail este un incident de evaluat în vederea notificării către CSIRT-ul național, care în Italia este CSIRT Italia al ACN. Același lucru este valabil pentru unitățile sanitare, unde e-mailul transportă adesea date personale și clinice.

Ce faci acum

1. Inventar: identifică toate echipamentele FortiMail, fizice și virtuale, și versiunea instalată pe fiecare.
2. Actualizează: adu ramura 8.0 la 8.0.2, ramura 7.6 la 7.6.7 și ramura 7.4 la 7.4.9, sau la versiuni ulterioare. Echipamentele de pe ramura 7.2 trebuie migrate la 7.4.9 sau ulterioară.
3. Dacă nu poți actualiza imediat: Fortinet recomandă dezactivarea funcției IBE (Identity-Based Encryption). Ca alternativă, blochează accesul din Internet la interfața de administrare și permite-l doar din rețele interne de încredere; INCIBE-CERT menționează și interfața de webmail printre cele care trebuie limitate la rețele de încredere.
4. Caută semne de compromitere: compară echipamentele cu indicatorii de compromitere publicați de Fortinet în buletinul FG-IR-26-175. CERT-SE recomandă căutarea comportamentelor anormale conform indicațiilor producătorului, examinarea jurnalelor din ultimele 3 luni și verificarea cron job-urilor pentru scripturi suspecte.
5. Dacă găsești urme: tratează echipamentul ca fiind compromis, urmează indicațiile Fortinet și evaluează obligațiile de notificare care se aplică organizației tale.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă o interfață de administrare poate fi accesată din exterior. ARX Sentry adună într-un colector central jurnalele firewall-urilor și ale altor dispozitive de rețea, astfel încât accesele și conexiunile anormale rămân sub ochii analiștilor. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților și poți căuta indicatori de compromitere.

Ultima actualizare: 8 octombrie 2026