Уязвимость FortiMail с оценкой 9,8 балла уже используют в атаках
Fortinet сообщила, что ошибка в интерфейсе управления почтового сервиса FortiMail позволяет без авторизации записывать файлы в систему.
Для части затронутых версий исправления ещё готовятся. Компания предложила временные меры защиты и опубликовала признаки, по которым администраторы могут проверить системы.
Уязвимость получила идентификатор CVE-2026-104286 и оценку 9,8 из 10 по шкале CVSS. По описанию Fortinet, ошибка связана с обходом ограничений на пути к файлу и некорректной обработкой нулевого байта. Специально составленный запрос по HTTP или HTTPS позволяет атакующему без авторизации записывать произвольные файлы в систему. Проблему внутри компании обнаружил сотрудник команды безопасности продуктов Гвендаль Геньо.
Уязвимы FortiMail 8.0.0—8.0.1, 7.6.0—7.6.6, 7.4.0—7.4.8 и 7.2.0—7.2.9. Пользователи ветки 7.2 могут устранить уязвимость переходом на ветку 7.4 или более новую. Для затронутых установок 7.4, 7.6 и 8.0 обновления безопасности ещё не вышли: исправления заявлены для версий 7.4.9, 7.6.7 и 8.0.2. До их выхода Fortinet рекомендует отключить поддержку функции IBE либо закрыть доступ к интерфейсу управления из интернета, оставив его только для доверенных частных сетей.
Уязвимость FortiMail: признаки взлома и меры CISA
Fortinet перечислила файлы, которые появлялись или изменялись на скомпрометированных системах, и опубликовала их хеши SHA-256. Среди добавленных файлов указаны /data/lib/liblog.so, /data/bin/webconsole и /data/etc/ld.so.preload. В числе изменённых значатся /bin/smit и /data/etc/httpd.conf. С атаками компания также связывает IP-адреса 79[.]141.169.187 и 45[.]129.0.192.
В рекомендациях приведены записи журналов для проверки устройств. Одна из них показывает настройку через командную строку учётной записи архивирования archive234: в качестве удалённого сервера указан адрес 79.141.169.187, а в качестве каталога указан /uploads. Такая запись может указывать на настройку отправки архивных данных с захваченного устройства на удалённый сервер. Fortinet также приводит примеры записей о запуске команды через cron, ошибке расшифровки IBE и неудачных попытках входа.
Fortinet не сообщила, когда началась эксплуатация ошибки, сколько систем пострадало и кто стоит за атаками. В ответ на запрос BleepingComputer компания сослалась на опубликованные рекомендации и сообщила, что взаимодействует с государственными ведомствами, в том числе с Агентством по кибербезопасности и защите инфраструктуры США (CISA). Само агентство внесло CVE-2026-104286 в каталог уязвимостей, которые уже эксплуатируются.
Федеральные ведомства США должны провести криминалистическую проверку систем и принять меры против уязвимости до 4 октября. Администраторы FortiMail могут использовать опубликованные журналы и хеши для поиска следов атак, а до установки исправления ограничить доступ к интерфейсу управления или отключить поддержку IBE. Срок выхода трёх ожидаемых версий Fortinet не назвала.
