Fortinet предупреждает о критической уязвимости FortiMail, уже используемой в атаках

Fortinet предупредила клиентов о критической уязвимости в продукте FortiMail, получившей идентификатор CVE-2026-104286. По данным компании, брешь уже активно используется в атаках «нулевого дня» для выполнения несанкционированного кода или команд на уязвимых устройствах.

Уязвимость оценена как критическая — 9,8 балла по шкале CVSS — и затрагивает интерфейс управления FortiMail. Согласно бюллетеню, это сочетание обхода каталога (path traversal) и некорректной обработки NULL-байта: неаутентифицированный злоумышленник может записывать произвольные файлы в систему через специально сформированные HTTP- или HTTPS-запросы. Брешь обнаружил Гвендаль Геньо из команды безопасности продуктов Fortinet.

Какие версии затронуты

Проблема касается FortiMail версий с 8.0.0 по 8.0.1, с 7.6.0 по 7.6.6, с 7.4.0 по 7.4.8 и с 7.2.0 по 7.2.9. Пользователям ветки 7.2 рекомендуется перейти на 7.4 или новее. Для версий 7.4, 7.6 и 8.0 исправлений пока нет: Fortinet называет в качестве будущих выпусков с патчем 7.4.9, 7.6.7 и 8.0.2.

Временные меры

До выхода обновлений Fortinet советует отключить поддержку функции IBE соответствующими командами либо закрыть доступ к интерфейсу управления из интернета, ограничив его доверенными частными сетями.

Признаки компрометации

Fortinet опубликовала индикаторы компрометации — несколько файлов, добавленных или изменённых на взломанных системах, а также два связанных с атаками IP-адреса. В бюллетене приведены и примеры записей журналов. Одна из них показывает настройку архивного аккаунта с удалённым сервером и каталогом /uploads — это может указывать на то, что злоумышленник переконфигурировал устройство для отправки архивных данных наружу. Другие записи касаются задания cron, связанного с /migadmin, выхода администратора из системы, ошибки расшифровки IBE и неудачных попыток входа.

Fortinet не раскрыла, когда началась эксплуатация, сколько систем пострадало и кто стоит за атаками. На запрос BleepingComputer компания сослалась на бюллетень, добавив, что координирует действия с государственными ведомствами, включая CISA. Американское агентство уже внесло CVE-2026-104286 в каталог известных эксплуатируемых уязвимостей и обязало федеральные ведомства провести криминалистическую проверку и устранить проблему к 4 октября.

Источник: Bleeping Computer