Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) добави критична уязвимост във Fortinet FortiMail (CVE-2026-104286) към своя каталог с известни експлоатирани уязвимости (KEV) след доказателства за активна експлоатация.
Проблемът засяга Fortinet FortiMail — продукт за сигурност на електронната поща, който обикновено се внедрява в периметъра на мрежата за филтриране на зловредни имейли и защита на корпоративните системи за съобщения.
Неавтентифициран отдалечен атакуващ би могъл да експлоатира проблема, като изпрати специално форматирани HTTP или HTTPS заявки към уязвимо FortiMail устройство. Успешната експлоатация може да позволи на атакуващия да записва произволни файлове в лежащата отдолу система.
CVE-2026-104286 е уязвимост от тип обхождане на директории (path traversal), причинена от неправилна неутрализация на NULL байт, което позволява на атакуващите да манипулират файлови пътища за достъп или запис на файлове извън предназначените директории.
Експлоатация на 0-day уязвимост във Fortinet FortiMail
Слабостите при обработката на NULL байт могат да помогнат на атакуващите да заобиколят контролите за валидация на входните данни, разчитащи на неправилно обработени файлови имена или разширения. Уязвимостта е свързана с CWE-22 и CWE-158.
CISA добави уязвимостта към каталога KEV на 1 октомври 2026 г. и определи краен срок за отстраняване до 4 октомври 2026 г. за засегнатите федерални цивилни агенции на изпълнителната власт.
Агенцията изисква от организациите да приложат препоръчаните от производителя мерки за смекчаване на риска в съответствие със Задължителна оперативна директива (BOD) 26-04, която приоритетизира обновленията за сигурност според риска.
Записът на CISA в KEV за CVE-2026-104286 не свързва уязвимостта с криптовируси (ransomware), но експлоатацията на устройства за сигурност на е-поща, достъпни от интернет, би могла да осигури първоначален достъп с голямо въздействие.
Достъпът за запис на произволни файлове потенциално би могъл да позволи на авторите на заплахи да поставят зловредни файлове, да променят конфигурации, да установяват трайно присъствие (persistence) или да подготвят системите за последващо компрометиране, в зависимост от конфигурацията на устройството и файловите права.
CISA също така маркира проблема като изискващ криминалистичен триаж (forensic triage) съгласно BOD 26-04. Организациите, използващи FortiMail, трябва да идентифицират всички експонирани устройства, да потвърдят дали са засегнати, да приложат предписаните от Fortinet мерки за защита или корекции за сигурност и да прегледат дневниците (logs) за съмнителни HTTP или HTTPS заявки.
Екипите по сигурност трябва също така да инспектират за неочаквани файлове, промени в системните конфигурации, неоторизирани акаунти и необичайна изходяща мрежова активност.
Когато няма налични ефективни мерки за защита, CISA съветва заинтересованите страни да следват приложимите указания за облачни услуги или да преустановят използването на засегнатия продукт.
Организациите трябва да приоритетизират външно достъпните внедрявания на FortiMail, тъй като излагането в интернет увеличава вероятността от опортюнистично сканиране и експлоатация.