Vulnerabilidad de día cero en FortiMail: escritura arbitraria de archivos y qué hacer

Fortinet FortiMail es vulnerable a la vulnerabilidad crítica CVE-2026-104286 (CVSS 9.8), que permite a un atacante remoto no autenticado escribir archivos arbitrarios en el sistema a través de HTTP(S); el proveedor confirma su explotación «en estado salvaje» y recomienda aplicar de inmediato las soluciones temporales del aviso de seguridad FG-IR-26-175, mientras que CISA ha incluido este fallo en el catálogo Known Exploited Vulnerabilities y exige a las agencias federales acciones de protección antes del 4 de octubre de 2026.

Detalles técnicos de la vulnerabilidad CVE-2026-104286

Según el aviso de seguridad de Fortinet FG-IR-26-175, la vulnerabilidad se clasifica como:

• CVE: CVE-2026-104286
• Evaluación: CVSSv3 9.8 (crítica)
• Tipo: Improper limitation of a pathname to a restricted directory (path traversal, CWE-22) e Improper neutralization of NULL byte/character (CWE-158)
• Vector: acceso remoto vía HTTP o HTTPS sin autenticación
• Efecto principal: posibilidad de escribir archivos arbitrarios en el sistema de archivos del dispositivo

Fortinet describe el problema como una combinación de:

• path traversal: filtrado insuficiente de la ruta del archivo, lo que permite salir de los directorios esperados;
• neutralización incorrecta del NULL byte, que por lo general se utiliza para eludir comprobaciones de extensiones o truncar cadenas al trabajar con funciones de ficheros en el lado del servidor.

La explotación se realiza mediante peticiones HTTP/HTTPS especialmente diseñadas hacia FortiMail. Dado que la vulnerabilidad se activa antes de la fase de autenticación, al atacante le basta con que la interfaz sea accesible por red para intentar escribir sus archivos en áreas sensibles del sistema de archivos. Desde el punto de vista de la matriz ATT&CK, esto encaja en la táctica Initial Access y en la técnica de escritura de archivos para su ejecución posterior, pero no es del todo correcto fijar aquí una técnica concreta, ya que el proveedor no revela el escenario hasta el punto de ejecución de código.

Versiones de FortiMail afectadas

Están afectadas las siguientes ramas y versiones de FortiMail:

• FortiMail 8.0.0–8.0.1 (se recomienda actualizar a 8.0.2 o superior cuando esté disponible)
• FortiMail 7.6.0–7.6.6 (actualizar a 7.6.7 o superior)
• FortiMail 7.4.0–7.4.8 (actualizar a 7.4.9 o superior)
• FortiMail 7.2.0–7.2.9 (migrar a la rama 7.4 o superior)

Para la vulnerabilidad se espera el registro estándar en la base NVD; estará disponible en la dirección NVD: CVE-2026-104286, donde con el tiempo aparecerán detalles adicionales de la evaluación del vector y de los subcomponentes de CVSS.

Explotación confirmada e indicadores de compromiso

Fortinet indica claramente que la vulnerabilidad ya se está utilizando en ataques dirigidos. En el aviso de seguridad se publican indicadores de compromiso (IOC) concretos que pueden ayudar en el análisis retrospectivo:

Direcciones IP hostiles:

• 79.141.169[.]187
• 45.129.0[.]192

Archivos y cambios sospechosos en FortiMail:

• /data/lib/liblog.so (añadido)
• /data/bin/webconsole (añadido)
• /data/bin/mailservice (añadido)
• /data/etc/ld.so.preload (añadido)
• /bin/smit (modificado)
• /data/etc/httpd.conf (modificado)
• /data/migadmin.tar.gz (modificado)

El conjunto de rutas permite entender indirectamente la naturaleza del ataque: la modificación de ld.so.preload y de binarios del sistema apunta a un intento de persistencia mediante ganchos de bibliotecas y sustitución del comportamiento de componentes del sistema, mientras que los cambios en la configuración de httpd y la incorporación de binarios propios en /data/bin se asemejan al despliegue de una interfaz web de gestión permanente y de un backdoor.

Contexto y naturaleza de la amenaza para la infraestructura de correo

El hecho de que CVE-2026-104286 se haya incluido en el catálogo CISA Known Exploited Vulnerabilities y la exigencia del aviso de CISA sobre la incorporación de una nueva vulnerabilidad para las agencias civiles federales antes del 4 de octubre de 2026 subrayan que no se trata de un riesgo teórico, sino de una campaña de explotación ya en marcha.

Conviene destacar el contexto: simultáneamente, según CISA, se están explotando vulnerabilidades en Check Point, Arista, F5, Cisco y Citrix. El panorama encaja en un escenario típico para atacantes centrados en gateways de red y aplicaciones: explotan de forma secuencial las vulnerabilidades recientes en dispositivos perimetrales por los que pasan comunicaciones clave (correo, VPN, proxy, SD-WAN, balanceadores). FortiMail, como gateway de correo corporativo, en esta cadena ofrece:

• acceso a flujos y contenido de correo;
• un punto para insertar phishing y para interceptar la correspondencia;
• un posible punto de apoyo para desarrollar más la intrusión hacia el interior de la red.

La escritura arbitraria de archivos sin autenticación casi siempre puede llevarse hasta la ejecución de código en el dispositivo (por ejemplo, mediante sustitución de la configuración del servidor web, carga dinámica de bibliotecas, mecanismos de migración y copia de seguridad). Esto hace que, desde un punto de vista práctico, CVE-2026-104286 sea equivalente a una vulnerabilidad de toma de control remoto de FortiMail siempre que exista un exploit.

Evaluación del impacto en las organizaciones

Corren el mayor riesgo las organizaciones en las que FortiMail es accesible desde Internet y funciona sobre las ramas vulnerables 7.2, 7.4, 7.6 y 8.0 sin parches actuales y sin las soluciones temporales descritas.

Las consecuencias críticas en ausencia de respuesta pueden incluir:

• Compromiso de la infraestructura de correo. Posible acceso no autorizado a la correspondencia entrante y saliente, reenvío de copias de correos, modificación oculta del enrutamiento.
• Difusión de phishing y adjuntos maliciosos desde dominios legítimos. La toma de control de FortiMail permite al atacante enviar mensajes desde el dominio de confianza de la organización, lo que aumenta drásticamente la eficacia de los ataques contra clientes y socios.
• Punto de apoyo para una intrusión posterior. Al alcanzar la ejecución de código en FortiMail, el atacante puede utilizarlo como punto de entrada para el reconocimiento de la red interna, el movimiento lateral y ataques a otros sistemas.
• Alteración de la integridad y disponibilidad del servicio. Los cambios en archivos críticos (httpd.conf, binarios del sistema, bibliotecas) pueden dar lugar tanto a modificaciones encubiertas del tráfico como a la denegación del servicio por errores de configuración o eliminación de componentes del sistema.
• Riesgos regulatorios y legales. En sectores con requisitos estrictos de protección de las comunicaciones (sector financiero, sector público, sanidad), el hecho de comprometer un gateway de correo puede considerarse un incidente de violación de la confidencialidad.

El riesgo es especialmente elevado para:

• organizaciones con infraestructura de correo global y consolas de gestión de FortiMail accesibles públicamente;
• organismos federales y regionales (teniendo en cuenta la exigencia específica de CISA);
• infraestructuras críticas en las que el correo se utiliza como canal de control e intercambio de documentos sensibles.

Recomendaciones prácticas para proteger FortiMail

1. Acciones inmediatas para reducir el riesgo

Hasta que se complete la actualización de FortiMail, es necesario aplicar las siguientes medidas recomendadas por Fortinet en el aviso de seguridad oficial:

• Desactivar la función IBE (Identity Based Encryption).
  A través de la CLI de FortiMail, ejecutar el comando:

  config system encryption
      ibe
        set status disable
      end

  Se trata de una medida temporal que reduce la superficie de ataque mientras los parches no estén disponibles para parte de las ramas.

• Restringir el acceso a la interfaz de gestión de FortiMail.
  • cerrar el acceso a la interfaz web administrativa desde Internet;
  • permitir la gestión solo desde direcciones internas de confianza o a través de jump hosts y VPN;
  • asegurarse de que las políticas del cortafuegos y el enrutamiento no permitan eludir estas restricciones.

2. Actualización de versiones y planificación de parches

Tras aplicar las medidas urgentes es necesario planificar y ejecutar la actualización:

• rama 8.0: actualización a 8.0.2 o posterior (tan pronto como el lanzamiento esté disponible);
• rama 7.6: actualización a 7.6.7 o posterior;
• rama 7.4: actualización a 7.4.9 o posterior;
• rama 7.2: migración a 7.4 o a una rama más reciente.

Las organizaciones del sector civil federal de EE. UU. deben tener en cuenta los plazos del aviso de CISA sobre la actualización del KEV y poner FortiMail en conformidad (parche o soluciones temporales) no más tarde de la fecha indicada.

3. Búsqueda de indicios de compromiso y monitorización

Paralelamente a la actualización, conviene llevar a cabo una comprobación de seguridad específica de FortiMail:

• Comprobar la existencia y el estado de los archivos:
  • /data/lib/liblog.so
  • /data/bin/webconsole
  • /data/bin/mailservice
  • /data/etc/ld.so.preload
  • /bin/smit
  • /data/etc/httpd.conf
  • /data/migadmin.tar.gz

  Cualquier discrepancia con una instalación de referencia o cambios inesperados en las marcas de tiempo requieren un análisis en profundidad.

• Revisar los registros en busca de accesos desde las direcciones IP:
  • 79.141.169[.]187
  • 45.129.0[.]192

  Es importante analizar tanto las sesiones administrativas como cualquier petición HTTP inusual hacia la interfaz web.

• Examinar los logs en busca de peticiones inusuales con rutas largas, secuencias ../ y parámetros sospechosos, especialmente aquellas dirigidas a componentes de IBE u operaciones de archivos.
• Verificar si se han modificado las políticas de enrutamiento del correo, las reglas de reescritura de direcciones o la integración con sistemas externos (SIEM, archivado, DLP).

Si se detectan indicios de compromiso, debe considerarse que el dispositivo está potencialmente completamente comprometido: se requiere una respuesta a incidentes específica, análisis forense, reemisión de certificados y, posiblemente, la reinstalación de FortiMail seguida de la restauración desde una copia de seguridad de confianza.

La acción clave para los próximos días es desactivar de inmediato IBE en los FortiMail vulnerables, cerrar el acceso a la interfaz de gestión desde Internet, después actualizar el firmware a versiones seguras y llevar a cabo la verificación basada en los IOC publicados; ignorar CVE-2026-104286 dado su estado actual en el KEV equivale de facto a aceptar el riesgo de una toma de control total del gateway de correo.