CISA añade CVE-2026-104286 a KEV; FortiMail vulnerable y explotado requiere parche

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha incluido en su catálogo de Vulnerabilidades Conocidas y Explotadas (KEV) una falla cero‑día en Fortinet FortiMail que ya está siendo explotada en entornos reales. El fallo, registrado como CVE‑2026‑104286 (CVSS 9.8), permite a un atacante sin autenticación escribir archivos arbitrarios en el sistema subyacente a través de solicitudes HTTP/HTTPS manipuladas. CISA añadió la entrada tras recibir reportes de explotación activa, por lo que la recomendación oficial es aplicar parches o mitigaciones con prioridad máxima.

En términos técnicos, Fortinet describe la vulnerabilidad como una combinación de path traversal (limitación inadecuada de una ruta a un directorio restringido) y una falla de neutralización de carácter NULL. En la práctica esto significa que una entrada especialmente construida puede salirse del árbol de directorios previsto y truncarse o manipularse con un carácter nulo para inducir al servidor a escribir en archivos arbitrarios. Esa capacidad de escritura remota suele ser suficiente para instalar componentes persistentes —por ejemplo bibliotecas compartidas o binarios— que luego permiten ejecución de código con privilegios del servicio afectado. Esta explicación técnica coincide con los artefactos identificados en incidentes reportados: se han observado bibliotecas, binarios añadidos y cambios en archivos críticos de carga dinámica como /data/etc/ld.so.preload, un vector clásico para lograr ejecución persistente.

Hechos confirmados: CISA incluyó la CVE‑2026‑104286 en su catálogo KEV y reportó explotación activa; Fortinet publicó un aviso identificando la causa como traversal + carácter NULL; la vulnerabilidad afecta a múltiples ramas de FortiMail (detalladas por Fortinet) y la empresa ha publicado recomendaciones temporales para ciertos lanzamientos. Fortinet también facilitó indicadores de compromiso (IOCs) asociados a campañas observadas: dos direcciones IP (79.141.169[.]187 y 45.129.0[.]192) y una lista de ficheros modificados o añadidos, entre ellos /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice, /data/etc/ld.so.preload y /bin/smit.

Estimaciones e información en curso: la relación entre la capacidad de escritura de archivos y la ejecución de código no la detalla Fortinet textualmente, pero los archivos y modificaciones observadas (especialmente ld.so.preload y binarios añadidos) son consistentes con intentos de obtener persistencia y control remoto. No hay confirmación pública, hasta donde permiten las fuentes oficiales, de qué actores están detrás de las explotaciones ni del alcance global cuantificado de sistemas comprometidos; esto sigue siendo información en evolución y depende de los reportes que vayan aportando los propietarios de los equipos afectados.

La lista de versiones afectadas proporcionada por Fortinet indica que están en riesgo los FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 y la rama 7.2.0–7.2.9 (para esta última la recomendación es migrar a la rama 7.4 o superior). Fortinet anuncia versiones parche que corrigen el problema (por ejemplo 8.0.2, 7.6.7, 7.4.9 o migración a 7.4 en el caso de 7.2.x) y propone mitigaciones temporales para instalaciones que no pueden actualizar de inmediato, entre las que figura deshabilitar la funcionalidad IBE y restringir el acceso de gestión desde Internet.

Para organizaciones y administradores de seguridad esto tiene implicaciones directas: FortiMail es un gateway de correo que procesa mensajes entrantes y salientes; un dispositivo comprometido puede permitir interceptación de correo, exfiltración de datos, implantación de puertas traseras o pivoteo hacia la red interna. Además, los appliances de seguridad y correo suelen tener privilegios útiles en la infraestructura, por lo que su manipulación puede facilitar ataques posteriores como despliegue de ransomware o espionaje interno.

Medidas concretas que debe tomar ahora mismo cualquier organización con FortiMail afectado: primero, confirme si su(s) dispositivo(s) ejecuta(n) una versión vulnerable y planifique una actualización urgente a la versión corregida indicada por Fortinet. Si no puede parchear de inmediato, aplique las mitigaciones oficiales de Fortinet: deshabilitar la función IBE y bloquear o limitar el acceso al interfaz de gestión desde Internet, permitiéndolo solo desde redes de administración de confianza. Siga las instrucciones exactas del fabricante para ejecutar estas mitigaciones (no improvise comandos sin verificar la documentación oficial).

Segundo, busque los IOCs publicados: compare los archivos señalados por Fortinet en dispositivos FortiMail para detectar adiciones o modificaciones (por ejemplo /data/etc/ld.so.preload, /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice y /bin/smit) y verifique conexiones de red hacia las IPs indicadas. Si alguno de los artefactos aparece en un equipo, aíslelo de la red inmediatamente y proceda con un análisis forense. En servidores Unix‑like, comprobar la presencia de ld.so.preload y su contenido, así como hashes y timestamps de binarios críticos, es una acción de detección de alto valor.

Tercero, establezca medidas de contención en red: bloquee a nivel de firewall las IPs conocidas asociadas a la campaña (79.141.169.187 y 45.129.0.192), aplique reglas de acceso a la consola de gestión para permitir solo redes internas y consolide el registro y retención de logs de acceso y configuración para facilitar la investigación. Actualice firmas y reglas en IDS/IPS y herramientas EDR con la información disponible y comparta hallazgos con su equipo de respuesta a incidentes.

Cuarto, proteja las credenciales y llaves: si hay sospecha de compromiso, rote contraseñas administrativas, cambie certificados y llaves que podrían haberse visto comprometidas y revise cuentas de servicio que interactúen con FortiMail. Restaure desde copias de seguridad verificadas en caso de que la integridad del dispositivo esté en duda y documente todo el proceso para auditoría y posible notificación regulatoria.

Finalmente, si pertenece al gobierno federal de EE. UU. o gestiona infraestructuras críticas, observe el plazo de CISA: las agencias federales deben parchear o mitigar antes del 4 de octubre de 2026, un calendario que apunta al carácter urgente de la amenaza. Para más información y la advertencia formal, consulte el catálogo de CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog, y el detalle técnico de la CVE en la base de NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-104286. También conviene revisar las publicaciones de Fortinet relacionadas a PSIRT para aplicar los pasos oficiales: https://www.fortiguard.com/psirt.

Es importante enmarcar este incidente en una tendencia más amplia: en las últimas semanas han emergido múltiples fallos en dispositivos de red y seguridad (entre ellos fallos en Check Point, Arista VeloCloud, F5 BIG‑IP, Cisco Catalyst SD‑WAN y Citrix NetScaler) que también han sido explotados en la práctica. Esto sugiere que los atacantes están intensificando campañas dirigidas a appliances de infraestructura, que suelen recibir menos atención operativa que servidores y endpoints, pero cuyo compromiso tiene un impacto elevado en la seguridad global de las redes.

En resumen: trate esta CVE como una prioridad de primera línea. Confirme versiones, aplique parches o mitigaciones oficiales sin demora, verifique indicadores de compromiso en sus FortiMail y en los segmentos de red relacionados, y coordine respuesta e investigación si detecta signos de intrusión. La ventana para evitar accesos persistentes y explotación a gran escala se está cerrando rápidamente; las acciones concretas y verificables realizadas ahora reducen considerablemente el riesgo de daños posteriores.