Fortinet har varnat för att angripare utnyttjar en kritisk FortiMail-zero-day för att köra obehörig kod eller kommandon på sårbara enheter. Företaget uppmanar kunder att använda tillfälliga skyddsåtgärder medan de väntar på korrigerade programvaruversioner.
Sårbarheten, som spåras som CVE-2026-104286, påverkar FortiMails hanteringsgränssnitt och har en CVSS-allvarlighetsgrad på 9,8.
Kritisk sårbarhet tillåter filskrivning utan autentisering
Enligt Fortinet kombinerar sårbarheten path traversal med felaktig hantering av null-tecken. Tillsammans gör dessa svagheter det möjligt för angripare att skriva godtyckliga filer till det underliggande systemet genom specialutformade HTTP- eller HTTPS-förfrågningar.
Angripare behöver inte autentisera sig innan de utnyttjar sårbarheten. Följaktligen utgör exponerade hanteringsgränssnitt ett omedelbart problem för berörda organisationer.
Fortinet uppger att Gwendal Guégniaud från företagets Product Security-team upptäckte sårbarheten internt. Företaget har dock inte avslöjat när utnyttjandet började eller hur många enheter angriparna har komprometterat.
Fyra FortiMail-versioner kräver åtgärder
Sårbarheten påverkar följande versioner:
| Versionsgren | Berörda versioner | Tillkännagiven korrigerad version |
|---|---|---|
| FortiMail 8.0 | 8.0.0–8.0.1 | 8.0.2, kommande |
| FortiMail 7.6 | 7.6.0–7.6.6 | 7.6.7, kommande |
| FortiMail 7.4 | 7.4.0–7.4.8 | 7.4.9, kommande |
| FortiMail 7.2 | 7.2.0–7.2.9 | Migrering till en korrigerad version på en nyare gren |
Vid tidpunkten för offentliggörandet den 1 oktober angav Fortinet att korrigeringarna för grenarna 7.4, 7.6 och 8.0 var kommande.
Samtidigt måste kunder som kör FortiMail 7.2 flytta till en nyare gren för att få en permanent korrigering. Att enbart uppgradera till en berörd version på en annan gren skulle lämna sårbarheten olöst.
Tillfälliga lösningar minskar exponeringen
Tills kunderna kan installera en korrigerad version rekommenderar Fortinet att stöd för IBE-funktionen inaktiveras med dessa kommandon:
config system encryption ibe
set status disable
endAlternativt kan administratörer blockera internetåtkomst till FortiMails hanteringsgränssnitt eller begränsa åtkomsten till betrodda privata nätverk.
Dessa tillfälliga lösningar minskar exponeringen för FortiMail-zero-day-sårbarheten. Att tillämpa dem fastställer dock inte om en enhet redan har komprometterats.
Angreppsindikatorer omfattar ändrade filer och arkivinställningar
Fortinet publicerade också indikatorer för att hjälpa administratörer att undersöka misstänkt aktivitet. Dessa omfattar nyligen tillagda filer och ändringar av befintliga systemkomponenter.
De listade filerna inkluderar /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice och /data/etc/ld.so.preload. Samtidigt ändrade angriparna /bin/smit, /data/etc/httpd.conf och /data/migadmin.tar.gz.
Företaget kopplade också två IP-adresser till attackerna: 79[.]141.169.187 och 45[.]129.0.192.
Ett publicerat loggexempel visar hur någon skapar ett arkivkonto med namnet archive234 via kommandoraden. Dess inställningar pekar på en fjärrserver på 79[.]141.169.187 och en /uploads-katalog.
Den konfigurationen kan tyda på ett försök att skicka arkiverad information utanför organisationen. Loggposten i sig bekräftar dock inte att en överföring lyckades.
Ytterligare exempel omfattar ett schemalagt kommando som involverar /migadmin, en ovanlig administratörsutloggning och ett IBE-avkodningsfel. Fortinet inkluderade även misslyckade inloggningsförsök bland ledtrådarna för utredningen.
CISA sätter deadline den 4 oktober för federala myndigheter
CISA har lagt till CVE-2026-104286 i sin katalog över Known Exploited Vulnerabilities. Myndigheten kräver att berörda federala myndigheter genomför forensisk triage och åtgärdar sårbarheten senast den 4 oktober.
Samtidigt uppger Fortinet att företaget samordnar arbetet med relevanta myndighetsorganisationer, inklusive CISA.
Företaget har inte identifierat angriparna eller avslöjat kampanjens fullständiga omfattning. För närvarande fokuserar dess vägledning på att minska exponeringen och undersöka enheter efter tecken på intrång.
0 svar till ”FortiMail-zero-day utnyttjas medan kunder väntar på säkerhetsuppdateringar”