Уязвимость FortiMail активно используют в атаках
1 октября 2026 года Fortinet сообщила об активной эксплуатации уязвимости CVE-2026-104286 в интерфейсе управления FortiMail. Она сочетает обход путей с некорректной обработкой нулевых байтов и позволяет удалённому злоумышленнику без аутентификации записывать произвольные файлы в базовую операционную систему с помощью специально сформированных HTTP- или HTTPS-запросов.
Fortinet присвоила уязвимости критический уровень и оценила её в 9,8 балла по CVSS v3.1. Для эксплуатации не нужны привилегии или взаимодействие с пользователем, а возможный ущерб затрагивает конфиденциальность, целостность и доступность. Запись произвольных файлов может использоваться в связке для выполнения несанкционированного кода и закрепления в системе.
Уязвимость затрагивает FortiMail версий из веток 7.2, 7.4, 7.6 и 8.0. По состоянию на 2 октября 2026 года исправленные сборки ещё не были доступны. Fortinet назвала ожидаемыми к выпуску версии 7.4.9, 7.6.7 и 8.0.2. Пользователям версии 7.2 компания рекомендовала перейти на исправленный выпуск 7.4, когда он станет доступен.
Уязвимый интерфейс поддерживает шифрование на основе идентификации (Identity Based Encryption). Наибольшей опасности подвергаются системы, интерфейсы управления которых доступны из недоверенных сетей. Злоумышленник публично не идентифицирован.
Fortinet сообщила о следующих признаках компрометации:
- добавление или модификация бинарных файлов;
- вредоносная разделяемая библиотека;
- изменения в бинарных файлах
smit, веб-консоли или службы электронной почты; - поддельный файл
httpd.conf; - запись в
ld.so.preload, используемая для загрузки кода злоумышленника.
Компания также обнаружила учётную запись архиватора, настроенную для выгрузки данных на внешний сервер. 1 октября CISA добавила CVE-2026-104286 в каталог Known Exploited Vulnerabilities и установила для подотчётных организаций срок устранения уязвимости до 4 октября.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
