Fortinet FortiMail подвержён критической уязвимости CVE-2026-104286 (CVSS 9.8), позволяющей удалённому неаутентифицированному злоумышленнику записывать произвольные файлы на систему через HTTP(S); вендор подтверждает эксплуатацию «в дикой природе» и рекомендует немедленно применять обходные меры из advisory FG-IR-26-175, а CISA включила этот дефект в каталог Known Exploited Vulnerabilities и требует от федеральных агентств защитных действий до 4 октября 2026 года.
Технические детали уязвимости CVE-2026-104286
Согласно уведомлению Fortinet FG-IR-26-175, уязвимость классифицируется как:
- CVE: CVE-2026-104286
- Оценка: CVSSv3 9.8 (критическая)
- Тип: Improper limitation of a pathname to a restricted directory (path traversal, CWE-22) и Improper neutralization of NULL byte/character (CWE-158)
- Вектор: удалённый доступ по HTTP или HTTPS без аутентификации
- Основной эффект: возможность записи произвольных файлов на файловую систему устройства
Fortinet описывает проблему как комбинацию:
- path traversal — недостаточная фильтрация пути к файлу, что позволяет выходить за пределы ожидаемых каталогов;
- некорректную нейтрализацию NULL-байта — что, как правило, используется для обхода проверок расширений или усечения строк при работе с файловыми функциями на стороне сервера.
Эксплуатация происходит через специально сформированные HTTP/HTTPS запросы к FortiMail. Так как уязвимость срабатывает до этапа аутентификации, злоумышленнику достаточно сетевой доступности интерфейса, чтобы попытаться записать свои файлы в чувствительные области файловой системы. С точки зрения матрицы ATT&CK это ложится в тактику Initial Access и технику записи файлов для последующего выполнения, но конкретную технику здесь корректнее не фиксировать, так как вендор не раскрывает сценарий до выполнения кода.
Затронутые версии FortiMail
Подвержены следующие ветки и версии FortiMail:
- FortiMail 8.0.0–8.0.1 (рекомендовано обновление до 8.0.2 или выше, когда станет доступно)
- FortiMail 7.6.0–7.6.6 (обновление до 7.6.7 или выше)
- FortiMail 7.4.0–7.4.8 (обновление до 7.4.9 или выше)
- FortiMail 7.2.0–7.2.9 (миграция на ветку 7.4 или выше)
Для уязвимости ожидается стандартная запись в базе NVD; она будет доступна по адресу NVD: CVE-2026-104286, где со временем появятся дополнительные детали оценки вектора и подкомпонентов CVSS.
Подтверждённая эксплуатация и индикаторы компрометации
Fortinet прямо указывает, что уязвимость уже используется в целевых атаках. В advisory публикуются конкретные индикаторы компрометации (IOC), которые могут помочь в ретроспективном анализе:
Враждебные IP-адреса:
- 79.141.169[.]187
- 45.129.0[.]192
Подозрительные файлы и изменения на FortiMail:
- /data/lib/liblog.so (добавлен)
- /data/bin/webconsole (добавлен)
- /data/bin/mailservice (добавлен)
- /data/etc/ld.so.preload (добавлен)
- /bin/smit (изменён)
- /data/etc/httpd.conf (изменён)
- /data/migadmin.tar.gz (изменён)
Набор путей даёт косвенное понимание характера атаки: модификация ld.so.preload и системных бинарей указывает на попытку закрепления через библиотечные перехваты и подмену поведения системных компонентов, а правки httpd-конфигурации и добавление собственных бинарей в /data/bin выглядят как развёртывание постоянного веб-интерфейса управления и бэкдора.
Контекст и характер угрозы для почтовой инфраструктуры
Факт включения CVE-2026-104286 в каталог CISA Known Exploited Vulnerabilities и предписание из уведомления CISA о добавлении новой уязвимости для федеральных гражданских агентств до 4 октября 2026 года подчёркивают, что речь идёт не о теоретическом риске, а об уже идущей кампании по эксплуатации.
Отдельно стоит отметить фон: одновременно, по данным CISA, в эксплуатации находятся уязвимости в Check Point, Arista, F5, Cisco и Citrix. Картина складывается в типичный сценарий для атакующих, нацеленных на сетевые и прикладные шлюзы: они последовательно отрабатывают свежие уязвимости в пограничных устройствах, через которые проходят ключевые коммуникации (почта, VPN, прокси, SD-WAN, балансировщики). FortiMail, как шлюз корпоративной почты, в этой цепочке даёт:
- доступ к почтовым потокам и содержимому;
- точку для внедрения фишинга и перехвата переписки;
- потенциальный плацдарм для дальнейшего развития атаки внутрь сети.
Произвольная запись файлов без аутентификации почти всегда может быть доведена до выполнения кода на устройстве (например, через подмену конфигурации веб-сервера, динамическую подгрузку библиотек, механизмы миграции и резервного копирования). Это делает CVE-2026-104286 с практической точки зрения эквивалентной уязвимости удалённого захвата FortiMail при наличии эксплойта.
Оценка воздействия на организации
Наибольшему риску подвержены организации, у которых FortiMail доступен из интернета и работает на уязвимых ветках 7.2, 7.4, 7.6 и 8.0 без актуальных исправлений и без описанных обходных мер.
Критичные последствия при отсутствии реагирования могут включать:
- Компрометацию почтовой инфраструктуры. Потенциальный несанкционированный доступ к входящей и исходящей корреспонденции, пересылка копий писем, скрытое изменение маршрутизации.
- Распространение фишинга и вредоносных вложений от легитимных доменов. Захват FortiMail позволяет злоумышленнику отправлять письма из доверенной доменной зоны организации, что резко повышает конверсию атак на клиентов и партнёров.
- Плацдарм для дальнейшего проникновения. При достижении выполнения кода на FortiMail атакующий может использовать его как точку входа для разведки внутренней сети, движении по ней и атак на другие системы.
- Нарушение целостности и доступности сервиса. Изменения в критических файлах (httpd.conf, системные бинарии, библиотеки) могут привести как к скрытым модификациям трафика, так и к отказу сервиса в результате ошибок конфигурации или удаления системных компонентов.
- Регуляторные и юридические риски. Для отраслей с жёсткими требованиями к защите коммуникаций (финансовый сектор, госсектор, здравоохранение) факт компрометации почтового шлюза может трактоваться как инцидент нарушения конфиденциальности.
Риск особенно высок для:
- организаций с глобальной почтовой инфраструктурой и публично доступными управлениями FortiMail;
- федеральных и региональных органов власти (учитывая отдельное предписание CISA);
- критически важной инфраструктуры, где почта используется как канал управления и обмена чувствительными документами.
Практические рекомендации по защите FortiMail
1. Немедленные действия по снижению риска
До полного обновления FortiMail необходимо реализовать следующие меры, рекомендованные Fortinet в официальном advisory:
- Отключить функцию IBE (Identity Based Encryption).
Через CLI FortiMail выполнить команду:config system encryption ibe set status disable endЭто временная мера, снижающая поверхность атаки, пока патчи недоступны для части веток.
- Ограничить доступ к интерфейсу управления FortiMail.
- закрыть доступ к административному веб-интерфейсу из интернета;
- разрешить управление только с доверенных внутренних адресов или через jump-хосты и VPN;
- убедиться, что политики межсетевого экрана и маршрутизации не позволяют обойти эти ограничения.
2. Обновление версий и планирование патчей
После применения срочных мер необходимо спланировать и выполнить обновление:
- ветка 8.0: обновление до 8.0.2 или новее (как только релиз будет доступен);
- ветка 7.6: обновление до 7.6.7 или новее;
- ветка 7.4: обновление до 7.4.9 или новее;
- ветка 7.2: миграция на 7.4 или более новую ветку.
Организациям из федерального гражданского сектора США следует учитывать сроки из уведомления CISA об обновлении KEV и привести FortiMail в соответствие (патч или обходные меры) не позднее обозначенной даты.
3. Поиск следов компрометации и мониторинг
Параллельно с обновлением стоит провести целевую проверку безопасности FortiMail:
- Проверить наличие и состояние файлов:
- /data/lib/liblog.so
- /data/bin/webconsole
- /data/bin/mailservice
- /data/etc/ld.so.preload
- /bin/smit
- /data/etc/httpd.conf
- /data/migadmin.tar.gz
Любые расхождения с эталонной установкой или неожиданное изменение временных меток требуют углублённого анализа.
- Проверить журналы на обращения с IP-адресов:
- 79.141.169[.]187
- 45.129.0[.]192
Важно проанализировать как административные сессии, так и любые необычные HTTP-запросы к веб-интерфейсу.
- Просмотреть логи на предмет необычных запросов с длинными путями, последовательностями ../ и подозрительными параметрами, особенно ведущими к компонентам IBE или файловым операциям.
- Проверить, не изменялись ли политики маршрутизации почты, правила переписывания адресов, интеграция с внешними системами (SIEM, архивирование, DLP).
При обнаружении признаков компрометации устройство следует рассматривать как потенциально полностью скомпрометированное: требуется отдельный инцидент-респонс, форензика, перевыпуск сертификатов и, возможно, переустановка FortiMail с последующим восстановлением из доверенной резервной копии.
Ключевое действие на ближайшие дни — немедленно отключить IBE на уязвимых FortiMail, закрыть доступ к интерфейсу управления из интернета, затем обновить прошивку до безопасных версий и провести проверку по опубликованным IOC; игнорирование CVE-2026-104286 при её текущем статусе в KEV фактически означает принятие риска полного захвата почтового шлюза.
