CISA ajoute CVE-2026-104286 à KEV; FortiMail vulnérable et exploité nécessite un patch

USA (CISA) a inclus dans son catalogue de vulnérabilités connues et exploitées (KEV) un échec zéro jour dans Fortinet FortiMail qui est déjà exploité dans des environnements réels. L'échec, enregistré comme CVE-2026-104286 (CVSS 9.8), permet à un attaquant non authentifié d'écrire des fichiers arbitraires dans le système sous-jacent au moyen de requêtes HTTP / HTTPS manipulées. La CISA a ajouté l'entrée après avoir reçu des rapports d'exploitation active, de sorte que la recommandation officielle est d'appliquer des correctifs ou des mesures d'atténuation avec la plus haute priorité.

En termes techniques, Fortinet décrit la vulnérabilité comme une combinaison dechemin traversant(limitation inadéquate d'une route vers un répertoire restreint) et échec de neutralisation NULL. En pratique, cela signifie qu'une entrée spécialement construite peut être retirée de l'arborescence des répertoires prévue et être tronquée ou manipulée avec un caractère zéro pour inciter le serveur à écrire dans des fichiers arbitraires. Cette capacité d'écriture à distance est souvent suffisante pour installer des composants persistants - par exemple des bibliothèques partagées ou binaires - qui permettent l'exécution de code avec des privilèges de service affectés. Cette explication technique coïncide avec les artefacts identifiés dans les incidents signalés : des bibliothèques, des binaires ajoutés et des changements ont été observés dans des fichiers de charge dynamique critiques tels que / data / etc / ld.so.preload, un vecteur classique pour réaliser une exécution persistante.

Faits confirmés : CISA a inclus le CVE-2026-104286 dans son catalogue KEV et a signalé une exploitation active; Fortinet a publié un avis identifiant la cause comme traversant + caractère NULL; vulnérabilité affecte plusieurs branches de FortiMail (détaillée par Fortinet) et la société a publié des recommandations temporaires pour certains lancements. Fortinet a également fourni des indicateurs d'engagement associés aux campagnes observées : deux adresses IP (79.141.169 [.] 187 et 45.129.0 [.] 192) et une liste de fichiers modifiés ou ajoutés, y compris / data / lib / liblog.so, / data / bin / webconsole, / data / bin / mailservice, / data / etc / ld.so.preload et / bin / smit.

Estimations et informations actuelles: la relation entre la capacité d'écriture de fichiers et l'exécution de code n'est pas spécifiée par Fortinet textuellement, mais les fichiers et modifications observés (en particulier ld.so.preload et binaire ajouté) sont compatibles avec les tentatives d'obtenir la persistance et la télécommande. Il n'y a pas de confirmation publique, dans la mesure où les sources officielles le permettent, dont les acteurs sont à l'origine des avoirs ou de la portée globale quantifiée des systèmes engagés; cela reste une information en évolution et dépend des rapports fournis par les propriétaires des équipements concernés.

La liste des versions touchées fournie par Fortinet indique que FortiMail 8.0.0-8.01, 7.6.0-7.6.6, 7.4.0-7.4.8 et la succursale 7.2.0-7.2.9 sont à risque (pour cette dernière, la recommandation est de migrer vers la succursale 7.4 ou plus). Fortinet annonce des versions de patch qui corrigent le problème (p. ex. 8.0.2, 7.6.7, 7.4.9 ou passage à 7.4 dans le cas de 7.2.x) et propose des mesures d'atténuation temporaires pour les installations qui ne peuvent pas être mises à jour immédiatement, y compris la désactivation de la fonctionnalité IBE et la restriction de l'accès à la gestion d'Internet.

Pour les organismes de sécurité et les administrateurs, cela a des répercussions directes : FortiMail est une passerelle de messagerie qui traite les messages entrants et sortants; un périphérique compromis peut permettre l'interception du courrier, l'exfiltration de données, le déploiement de la porte arrière ou le pivotement sur le réseau interne. En outre, les applications de sécurité et de courrier ont souvent des privilèges utiles dans l'infrastructure, de sorte que leur manipulation peut faciliter des attaques ultérieures comme le déploiement de Ransomware ou l'espionnage interne.

Mesures spécifiques à prendre par toute organisation avec FortiMail concernée en ce moment: d'abord, confirmez si votre appareil (s) exécute une version vulnérable et planifiez une mise à jour urgente de la version corrigée indiquée par Fortinet. Si vous ne pouvez pas vous garer immédiatement, appliquez l'atténuation officielle de Fortinet : désactivez la fonction IBE et bloquez ou limitez l'accès à l'interface de gestion depuis Internet, ne l'autorisant que depuis les réseaux de gestion de confiance. Suivez les instructions exactes du fabricant pour exécuter ces mesures d'atténuation (ne pas improviser les commandes sans vérifier la documentation officielle).

Deuxièmement, recherchez les IOC publiés : comparez les fichiers identifiés par Fortinet sur les périphériques FortiMail pour détecter les ajouts ou les modifications (par exemple / données / etc / ld.so.preload, / données / lib / liblog.so, / données / bin / webconsole, / données / bin / mailservice et / bin / smit) et vérifiez les connexions réseau aux IP indiquées. Si l'un des artefacts apparaît sur une équipe, isolez-le immédiatement du réseau et effectuez une analyse médico-légale. Sur les serveurs Unix, vérifier la présence de ld.so.preload et de son contenu, ainsi que les hashes binaires critiques et les timstamps, est une action de détection de grande valeur.

Troisièmement, établir des mesures de confinement du réseau : bloquer au niveau du pare-feu les PI connus associés à la campagne (79.141.169.187 et 45.129.0.192), appliquer des règles pour l'accès à la console de gestion afin de ne permettre que les réseaux internes et consolider l'enregistrement et la conservation du journal d'accès et de configuration pour faciliter la recherche. Mettre à jour les signatures et les règles dans les outils IDS / IPS et EDR avec les informations disponibles et partager les conclusions avec votre équipe d'intervention en cas d'incident.

Quatrièmement, protéger les références et les clés : s'il y a un soupçon de fiançailles, des mots de passe administratifs ronds, des certificats de changement et des clés qui pourraient avoir été compromis et examiner les comptes de services qui interagissent avec FortiMail. Restaurer de la sauvegarde vérifiée si l'intégrité de l'appareil est en doute et documenter l'ensemble du processus de vérification et l'éventuelle notification réglementaire.

Enfin, si elle appartient au gouvernement fédéral américain. Les États-Unis ou gèrent des infrastructures essentielles, respectent l'échéance de la CISA : les organismes fédéraux doivent stationner ou atténuer avant le 4 octobre 2026, un calendrier qui souligne la nature urgente de la menace. Pour plus d'information et d'avertissement officiel, consultez le catalogue de la CISA : https: / / www.cisa.gov / knowledge-exploited-vulnerabilities-catalog et les détails techniques du CVE à la base NVD: https: / / nvd.nist.gov / vuln / detail / CVE-2026-104286. Les publications de Fortinet relatives au PSIRT devraient également être revues pour mettre en oeuvre les mesures officielles suivantes : https: / / www.fortiguardia / psirt.

Il est important de cadrer cet incident dans une tendance plus large : ces dernières semaines, de multiples défaillances sont apparues dans les dispositifs de réseau et de sécurité (y compris dans Check Point, Arista VeloCloud, F5 BIG-IP, Cisco Catalyst SD-WAN et Citrix NetScaler) qui ont également été exploités dans la pratique. Cela suggère que les attaquants intensifient les campagnes visant les applications d'infrastructure, qui reçoivent souvent moins d'attention opérationnelle que les serveurs et les terminaux, mais dont l'engagement a un impact important sur la sécurité du réseau mondial.

Bref, traitez ce CVE comme une priorité de première ligne. Confirmez les versions, appliquez les correctifs officiels ou les mesures d'atténuation sans délai, vérifiez les indicateurs d'engagement dans votre FortiMail et les segments de réseau connexes, et coordonnez la réponse et la recherche si vous détectez des signes d'intrusion. La fenêtre pour éviter l'accès persistant et l'exploitation à grande échelle se ferme rapidement; des mesures concrètes et vérifiables réduisent désormais considérablement le risque de dommages ultérieurs.