CISA adiciona CVE-2026-104286 a KEV; FortiMail vulnerável e explorado requer adesivos

A Agência de Segurança de Infra-estruturas e Cibersegurança dos EUA. No seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) uma falha zero-dia em Fortinet FortiMail que já está sendo explorada em ambientes reais. O erro, registrado como CVE‐2026‐104286 (CVSS 9.8), permite a um atacante sem autenticação escrever arquivos arbitrários no sistema subjacente através de pedidos HTTP/HTTPS manipulados. CISA acrescentou a entrada após receber relatórios de exploração ativa, pelo que a recomendação oficial é aplicar adesivos ou mitigações com prioridade máxima.

Em termos técnicos, Fortinet descreve a vulnerabilidade como uma combinação depath traversal(limitação inadequada de uma rota para uma pasta restrita) e uma falha de neutralização de carácter NULL. Na prática, isto significa que um item especialmente construído pode sair da árvore de pastas prevista e ser truncado ou manipulado com um carácter nulo para induzir o servidor a escrever em ficheiros arbitrários. Essa capacidade de escrita remota é geralmente suficiente para instalar componentes persistentes — por exemplo, bibliotecas compartilhadas ou binários — que depois permitem execução de código com privilégios do serviço afetado. Esta explicação técnica coincide com os artefatos identificados em incidentes relatados: foram observadas bibliotecas, binários adicionados e mudanças em arquivos críticos de carga dinâmica como /data/etc/ld.so.preload, um vetor clássico para conseguir execução persistente.

Atos confirmados: CISA incluiu a CVE‐2026‐104286 no seu catálogo KEV e relatou exploração ativa; Fortinet publicou um aviso identificando a causa como traversal + caráter NULL; a vulnerabilidade afeta múltiplos ramos de FortiMail (detalladas por Fortinet) e a empresa publicou recomendações temporárias para certos lançamentos. Fortinet também forneceu indicadores de compromisso (IOCs) associados a campanhas observadas: dois endereços IP (79.141.169[.]187 e 45.129.0[.]192) e uma lista de ficheiros modificados ou adicionados, entre eles /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice, /data/etc/ld.so.preload e /bin/smit.

Estimações e informações em curso: A relação entre a capacidade de escrita de ficheiros e a execução de código não é apresentada por Fortinet textualmente, mas os ficheiros e modificações observadas (especialmente ld.so.preload e binários adicionados) são consistentes com tentativas de obter persistência e controlo remoto. Não há confirmação pública, até onde permitem as fontes oficiais, de que os intervenientes estão por trás das explorações e do alcance global quantificado de sistemas comprometidos; isto continua a ser informação em evolução e depende dos relatórios que os proprietários das equipas afectadas irão fornecer.

A lista de versões afectadas fornecida por Fortinet indica que estão em risco os FortiMail 8.0.0-8.0.1, 7.6.0-7.6.6, 7.4.0-7.4.8 e o ramo 7.2.0–7.2.9 (para esta última a recomendação é migrar para o ramo 7.4 ou superior). Fortinet anuncia versões adesivos que corrigem o problema (por exemplo, 8.0.2, 7.6.7, 7.4.9 ou migração para 7.4 no caso de 7.2.x) e propõe atenuações temporárias para instalações que não podem atualizar imediatamente, entre as quais a funcionalidade IBE está desactivada e restringir o acesso de gestão da Internet.

Para organizações e administradores de segurança isso tem implicações diretas: FortiMail é um gateway de e-mail que processa mensagens entrantes e salientes; um dispositivo comprometido pode permitir interceptação de e-mail, ex-filtração de dados, implantação de portas traseiras ou pivoteo para a rede interna. Além disso, os appliances de segurança e correio costumam ter privilégios úteis na infraestrutura, pelo que sua manipulação pode facilitar ataques posteriores como implantação de ransomware ou espionagem interna.

Medidas concretas que você deve tomar agora mesmo qualquer organização com FortiMail afetado: Primeiro, confirme se o seu(s) dispositivo(s) executa(n) uma versão vulnerável e planifique uma atualização urgente à versão corrigida indicada por Fortinet. Se não for possível corrigir imediatamente, aplique as mitigações oficiais de Fortinet: desactivar a função IBE e bloquear ou limitar o acesso à interface de gestão da Internet, limitando-o apenas a partir de redes de gestão de confiança. Siga as instruções exactas do fabricante para executar estas mitigações (não improvise comandos sem verificar a documentação oficial).

Segundo, procure os IOCs publicados: compare os ficheiros indicados por Fortinet em dispositivos FortiMail para detectar adições ou modificações (por exemplo, /data/etc/ld.so.preload, /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice e /bin/smit) e verifique ligações de rede para os IPs indicados. Se algum dos artefatos aparecer em uma equipe, isole-o da rede imediatamente e proceda com uma análise forense. Em servidores Unix-like, verifique a presença de ld.so.preload e seu conteúdo, bem como hashes e timestamps de binários críticos, é uma ação de detecção de alto valor.

Terceiro, estabeleça medidas de contenção em rede: bloquee a nível de firewall os IPs conhecidos associados à campanha (79.141.169.187 e 45.129.0.192), aplique regras de acesso à consola de gestão para permitir apenas redes internas e consolide o registro e retenção de logs de acesso e configuração para facilitar a pesquisa. Atualize assinaturas e regras em IDS/IPS e ferramentas EDR com a informação disponível e compartilhe achados com sua equipe de resposta a incidentes.

Quarto, proteja as credenciais e chaves: se houver suspeita de compromisso, rote senhas administrativas, mude certificados e chaves que poderiam ter sido comprometidas e rever contas de serviço que interajam com FortiMail. Restaure desde cópias de segurança verificadas se a integridade do dispositivo estiver em dúvida e documente todo o processo de auditoria e possível notificação regulamentar.

Finalmente, se pertence ao governo federal dos EUA. Nos EUA, ou gere infra-estruturas críticas, observe o prazo de CISA: as agências federais devem sistemaar ou mitigar antes de 4 de outubro de 2026, um calendário que aponta para o carácter urgente da ameaça. Para mais informações e advertência formal, consulte o catálogo da CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog, e o detalhe técnico da CVE na base de NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-104286. Também é conveniente rever as publicações de Fortinet relacionadas ao PSIRT para aplicar os passos oficiais: https://www.fortiguard.com/psirt.

É importante enquadrar este incidente numa tendência mais ampla: nas últimas semanas surgiram múltiplas falhas em dispositivos de rede e segurança (incluindo falhas em Check Point, Arista VeloCloud, F5 BIG-IP, Cisco Catalyst SD-WAN e Citrix NetScaler) que também foram explorados na prática. Isto sugere que os atacantes estão a intensificar campanhas de aplicação de infra-estruturas, que geralmente recebem menos atenção operacional do que servidores e endpoints, mas cujo compromisso tem um impacto elevado na segurança global das redes.

Em resumo: trate esta CVE como uma prioridade de primeira linha. Confirme versões, aplique adesivos ou mitigações oficiais sem demora, verifique indicadores de compromisso em seus FortiMail e nos segmentos de rede relacionados, e coordene resposta e pesquisa se detectar sinais de intrusão. A janela para evitar acessos persistentes e exploração em larga escala está a fechar-se rapidamente; as ações concretas e verificáveis realizadas agora reduzem consideravelmente o risco de danos posteriores.