Fortinet предупреди, че атакуващи активно експлоатират критична уязвимост от тип нулев ден във FortiMail, поставяйки под риск изложените системи за сигурност на електронната поща. Проследявана като CVE-2026-104286, уязвимостта е с оценка по CVSS от 9.8 и позволява на атакуващи без идентификационни данни за вход да записват файлове на засегнатите устройства чрез специално форматирани HTTP или HTTPS заявки.

Fortinet публикува бюлетин за сигурност FG-IR-26-175 на 1 октомври 2026 г. и призова клиентите си незабавно да приложат обходни решения. Корекциите за сигурност за няколко от засегнатите клонове все още се посочват като предстоящи версии към момента на разкриването, което прави бързите действия важни за организациите, работещи с уязвими системи.

FortiMail 0-Day уязвимост

Уязвимостта комбинира две слабости: обхождане на директории (path traversal), проследявана като CWE-22, и неправилно обработване на NULL байтове, проследявано като CWE-158. Обхождането на директории позволява на файловите пътища да излязат извън предвидената директория. В този случай Fortinet посочва, че форматирани уеб заявки могат да позволят неоторизиран запис на файлове в базовата система.

Това е по-сериозно от обикновен проблем с влизането в системата. Атакуващият не се нуждае от акаунт, за да експлоатира уязвимостта, а неоторизираният запис на файлове може да подкопае целостта на устройството за сигурност. Въпреки това Fortinet все още не е обяснила публично пълната верига на атаката, не е идентифицирала извършителите и не е разкрила колко организации са засегнати.

Гвендал Генио (Gwendal Guégniaud) от екипа за сигурност на продуктите във Fortinet откри и съобщи за проблема вътрешно. Бюлетинът потвърждава експлоатацията в реални условия (in the wild) и не съдържа виртуална корекция за сигурност, така че администраторите не трябва да чакат допълнителни подробности за атаката, преди да намалят рисковете.

Засегнати и коригирани версии

Засегнатите версии са FortiMail от 8.0.0 до 8.0.1, от 7.6.0 до 7.6.6, от 7.4.0 до 7.4.8 и от 7.2.0 до 7.2.9. Fortinet посочва предстоящите версии 8.0.2, 7.6.7 и 7.4.9 или по-нови като корекции за съответните клонове.

За FortiMail 7.2 производителят препоръчва преминаване към клон 7.4 или по-нов. Администраторите трябва да изберат коригирана версия, вместо да предполагат, че всяка версия в тези клонове е безопасна, тъй като по-ранните версии на 7.4 също са засегнати.

Препоръчителното обходно решение изключва поддръжката на функцията IBE. Администраторите трябва да въведат config system encryption ibe, след това set status disable, последвано от end в интерфейса с команден ред. Алтернативно Fortinet препоръчва премахване на интернет достъпа до интерфейса за управление на FortiMail или ограничаване на достъпа до доверени частни мрежи.

Индикатори, които екипите по сигурност трябва да проверят

Fortinet изброява добавени файлове в /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice и /data/etc/ld.so.preload. Тя също така идентифицира промени в /bin/smit, /data/etc/httpd.conf и /data/migadmin.tar.gz. Бюлетинът предоставя MD5 и SHA256 хешове за проверка на тези файлове спрямо съобщените индикатори.

Два IP адреса се появяват в индикаторите: 79[.]141.169.187 и 45[.]129.0.192. Един подозрителен конфигурационен дневник показва архивиращ акаунт с име archive234, конфигуриран да изпраща архиви към 79.141.169.187 в директория /uploads. Този запис заслужава разследване заедно с променитевъв файловете и други необичайни дейности.

Други изброени улици включват root cron команди, рефериращи към /migadmin, изход на администратор с празна стойност на интерфейса (null interface), грешки при декриптиране на IBE, съобщаващи за невалидни Base64 данни, и неуспешни влизания на вътрешни потребители. Тези записи трябва да се оценяват заедно, а не да се разглеждат като самостоятелни доказателства за компрометиране.

Cybersecurity News по-рано отрази CVE-2025-32756, отделна уязвимост от тип нулев ден във Fortinet, засягаща FortiMail и други продукти, с потвърдена експлоатация срещу FortiVoice. Този предишен инцидент не трябва да се бърка с новата уязвимост.

Организациите трябва да приложат текущото обходно решение, да запазят съответните дневници (logs) и да разследват съвпадащите индикатори. Затварянето на публичния достъп за управление ограничава излагането на риск, но не установява дали устройството вече е било компрометирано.

Следете бюлетина за сигурност на Fortinet за наличност на коригирани версии и актуализирани насоки. Екипите трябва също така да прегледат неочаквани промени в акаунтите и изходящи връзки, когато оценяват дали изброената дейност се е случила локално.

Съкратете всяко разследване на сигнал в SOC с 21 минути. Захранвайте вашия SOC с моментален контекст на IOC за незабавен отговор: Интегрирайте TI Lookup във вашия SOC