Fortinet har advaret om, at angribere udnytter en kritisk FortiMail-zero-day til at køre uautoriseret kode eller kommandoer på sårbare enheder. Virksomheden opfordrer kunder til at anvende midlertidige beskyttelsesforanstaltninger, mens de venter på rettede softwareversioner.
Sårbarheden, der spores som CVE-2026-104286, påvirker FortiMails administrationsgrænseflade og har en CVSS-alvorlighedsscore på 9,8.
Kritisk sårbarhed tillader filskrivning uden godkendelse
Ifølge Fortinet kombinerer sårbarheden path traversal med forkert håndtering af null-tegn. Tilsammen gør disse svagheder det muligt for angribere at skrive vilkårlige filer til det underliggende system gennem specialudformede HTTP- eller HTTPS-anmodninger.
Angribere behøver ikke at godkende sig, før de udnytter sårbarheden. Derfor udgør eksponerede administrationsgrænseflader en umiddelbar bekymring for berørte organisationer.
Fortinet krediterer Gwendal Guégniaud fra virksomhedens Product Security-team for internt at have opdaget sårbarheden. Virksomheden har dog ikke oplyst, hvornår udnyttelsen begyndte, eller hvor mange enheder angriberne har kompromitteret.
Fire FortiMail-versionsgrene kræver opmærksomhed
Sårbarheden påvirker følgende versioner:
| Versionsgren | Berørte versioner | Annonceret rettet version |
|---|---|---|
| FortiMail 8.0 | 8.0.0–8.0.1 | 8.0.2, kommende |
| FortiMail 7.6 | 7.6.0–7.6.6 | 7.6.7, kommende |
| FortiMail 7.4 | 7.4.0–7.4.8 | 7.4.9, kommende |
| FortiMail 7.2 | 7.2.0–7.2.9 | Migrering til en rettet version på en nyere gren |
På tidspunktet for offentliggørelsen den 1. oktober angav Fortinet rettelserne til grenene 7.4, 7.6 og 8.0 som kommende.
Samtidig skal kunder, der kører FortiMail 7.2, flytte til en nyere gren for at få en permanent rettelse. Blot at opgradere til en berørt version på en anden gren vil efterlade sårbarheden uløst.
Midlertidige løsninger reducerer eksponeringen
Indtil kunderne kan installere en rettet version, anbefaler Fortinet at deaktivere understøttelse af IBE-funktionen med disse kommandoer:
config system encryption ibe
set status disable
endAlternativt kan administratorer blokere internetadgang til FortiMails administrationsgrænseflade eller begrænse adgangen til betroede private netværk.
Disse midlertidige løsninger reducerer eksponeringen for FortiMail-zero-day-sårbarheden. Anvendelsen af dem fastslår dog ikke, om en enhed allerede er blevet kompromitteret.
Angrebsindikatorer omfatter ændrede filer og arkivindstillinger
Fortinet offentliggjorde også indikatorer for at hjælpe administratorer med at undersøge mistænkelig aktivitet. Disse omfatter nyligt tilføjede filer og ændringer af eksisterende systemkomponenter.
De angivne filer omfatter /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice og /data/etc/ld.so.preload. Samtidig ændrede angriberne /bin/smit, /data/etc/httpd.conf og /data/migadmin.tar.gz.
Virksomheden kædede også to IP-adresser sammen med angrebene: 79[.]141.169.187 og 45[.]129.0.192.
Et offentliggjort logeksempel viser, at nogen opretter en arkivkonto med navnet archive234 via kommandolinjen. Dens indstillinger peger på en ekstern server på 79[.]141.169.187 og en /uploads-mappe.
Denne konfiguration kan indikere et forsøg på at sende arkiverede oplysninger ud af organisationen. Logposten alene bekræfter dog ikke, at en overførsel lykkedes.
Yderligere eksempler omfatter en planlagt kommando, der involverer /migadmin, et usædvanligt administratorlogout og en IBE-afkodningsfejl. Fortinet inkluderede også mislykkede loginhændelser blandt sporene til undersøgelsen.
CISA fastsætter frist den 4. oktober for føderale myndigheder
CISA har føjet CVE-2026-104286 til sit katalog over Known Exploited Vulnerabilities. Myndigheden kræver, at berørte føderale myndigheder gennemfører retsmedicinsk triage og afhjælper sårbarheden senest den 4. oktober.
Samtidig siger Fortinet, at virksomheden koordinerer med relevante myndighedsorganisationer, herunder CISA.
Virksomheden har ikke identificeret angriberne eller offentliggjort kampagnens fulde omfang. Indtil videre fokuserer dens vejledning på at reducere eksponeringen og undersøge enheder for tegn på indtrængen.
0 svar til “FortiMail-zero-day udnyttes, mens kunder venter på sikkerhedsopdateringer”