Fortinet har advart om at angripere utnytter en kritisk FortiMail-zero-day for å kjøre uautorisert kode eller kommandoer på sårbare enheter. Selskapet oppfordrer kunder til å ta i bruk midlertidige beskyttelsestiltak mens de venter på korrigerte programvareversjoner.
Sårbarheten, som spores som CVE-2026-104286, påvirker FortiMails administrasjonsgrensesnitt og har en CVSS-alvorlighetsgrad på 9,8.
Kritisk sårbarhet tillater filskriving uten autentisering
Ifølge Fortinet kombinerer sårbarheten path traversal med feilaktig håndtering av nulltegn. Sammen gjør disse svakhetene det mulig for angripere å skrive vilkårlige filer til det underliggende systemet gjennom spesialutformede HTTP- eller HTTPS-forespørsler.
Angripere trenger ikke å autentisere seg før de utnytter sårbarheten. Følgelig utgjør eksponerte administrasjonsgrensesnitt en umiddelbar bekymring for berørte organisasjoner.
Fortinet oppgir at Gwendal Guégniaud fra selskapets Product Security-team oppdaget sårbarheten internt. Selskapet har imidlertid ikke opplyst når utnyttelsen startet eller hvor mange enheter angriperne har kompromittert.
Fire FortiMail-versjonsgrener krever oppmerksomhet
Sårbarheten påvirker følgende versjoner:
| Versjonsgren | Berørte versjoner | Kunngjort korrigert versjon |
|---|---|---|
| FortiMail 8.0 | 8.0.0–8.0.1 | 8.0.2, kommende |
| FortiMail 7.6 | 7.6.0–7.6.6 | 7.6.7, kommende |
| FortiMail 7.4 | 7.4.0–7.4.8 | 7.4.9, kommende |
| FortiMail 7.2 | 7.2.0–7.2.9 | Migrering til en korrigert versjon på en nyere gren |
På tidspunktet for offentliggjøringen 1. oktober oppførte Fortinet rettelsene for grenene 7.4, 7.6 og 8.0 som kommende.
Samtidig må kunder som kjører FortiMail 7.2, flytte til en nyere gren for å få en permanent rettelse. Å bare oppgradere til en berørt versjon på en annen gren vil la sårbarheten forbli uløst.
Midlertidige løsninger reduserer eksponeringen
Inntil kundene kan installere en korrigert versjon, anbefaler Fortinet å deaktivere støtte for IBE-funksjonen med disse kommandoene:
config system encryption ibe
set status disable
endAlternativt kan administratorer blokkere internettilgang til FortiMails administrasjonsgrensesnitt eller begrense tilgangen til pålitelige private nettverk.
Disse midlertidige løsningene reduserer eksponeringen for FortiMail-zero-day-sårbarheten. Å ta dem i bruk fastslår imidlertid ikke om en enhet allerede har blitt kompromittert.
Angrepsindikatorer inkluderer endrede filer og arkivinnstillinger
Fortinet publiserte også indikatorer for å hjelpe administratorer med å undersøke mistenkelig aktivitet. Disse inkluderer nylig tilføyde filer og endringer i eksisterende systemkomponenter.
De oppførte filene inkluderer /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice og /data/etc/ld.so.preload. Samtidig endret angriperne /bin/smit, /data/etc/httpd.conf og /data/migadmin.tar.gz.
Selskapet knyttet også to IP-adresser til angrepene: 79[.]141.169.187 og 45[.]129.0.192.
Et publisert loggeksempel viser at noen oppretter en arkivkonto med navnet archive234 via kommandolinjen. Innstillingene peker til en ekstern server på 79[.]141.169.187 og en /uploads-katalog.
Denne konfigurasjonen kan indikere et forsøk på å sende arkivert informasjon ut av organisasjonen. Loggoppføringen alene bekrefter imidlertid ikke at en overføring lyktes.
Ytterligere eksempler inkluderer en planlagt kommando som involverer /migadmin, en uvanlig administratorutlogging og en IBE-dekodingsfeil. Fortinet inkluderte også mislykkede innloggingshendelser blant sporene for undersøkelsen.
CISA setter frist 4. oktober for føderale etater
CISA har lagt til CVE-2026-104286 i sin katalog over Known Exploited Vulnerabilities. Etaten krever at berørte føderale etater gjennomfører forensisk triage og reduserer risikoen fra sårbarheten innen 4. oktober.
Samtidig sier Fortinet at selskapet koordinerer med relevante myndighetsorganisasjoner, inkludert CISA.
Selskapet har ikke identifisert angriperne eller offentliggjort det fulle omfanget av kampanjen. Foreløpig fokuserer veiledningen på å redusere eksponeringen og undersøke enheter for tegn på inntrenging.
0 responses to “FortiMail-zero-day utnyttes mens kunder venter på sikkerhetsoppdateringer”