Компания Fortinet 13 октября 2026 года опубликовала бюллетень безопасности FG-IR-26-184, раскрывающий уязвимость SQL-инъекции (CVE-2025-57739) в веб-интерфейсе почтового шлюза FortiMail. Уязвимость получила оценку CVSSv3 7.7 (High) и позволяет аутентифицированному атакующему выполнять несанкционированный код или команды через специально сформированные HTTP-запросы. Затронуты три ветки FortiMail — 7.2, 7.4 и 7.6; исправления уже доступны. Администраторам on-premise-инсталляций следует обновить ПО в приоритетном порядке.
Технические детали уязвимости
Уязвимость классифицируется как CWE-89 — недостаточная нейтрализация специальных элементов, используемых в SQL-командах. Согласно бюллетеню Fortinet, атака осуществляется через GUI-компонент (веб-почту FortiMail) посредством специально сформированных HTTP-запросов. Вектор CVSS (согласно официальной записи CVE: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) указывает на сетевой доступ с низкой сложностью атаки, но с обязательным требованием аутентификации. Воздействие оценивается как высокое по всем трём параметрам — конфиденциальности, целостности и доступности.
Ключевой момент: для эксплуатации необходима учётная запись пользователя веб-почты. Это снижает вероятность массовой автоматизированной атаки, но не исключает угрозу — скомпрометированные или слабые учётные данные пользователей почты могут стать отправной точкой для эскалации привилегий.
Согласно бюллетеню Fortinet, уязвимость была обнаружена внутренними средствами компании. На момент публикации бюллетеня случаи активной эксплуатации не зафиксированы.
Затронутые версии и исправления
По данным бюллетеня Fortinet, затронуты следующие версии FortiMail:
- FortiMail 7.6: версии с 7.6.0 по 7.6.3 — обновить до 7.6.4 или выше
- FortiMail 7.4: версии с 7.4.0 по 7.4.5 — обновить до 7.4.6 или выше
- FortiMail 7.2: версии с 7.2.0 по 7.2.8 — обновить до 7.2.9 или выше
FortiMail 8.0 не подвержена данной уязвимости. Для пользователей облачного сервиса FortiMail Cloud Fortinet сообщает, что проблема была устранена ещё в первом квартале 2026 года и никаких действий со стороны клиентов не требуется.
Оценка воздействия
FortiMail широко используется как корпоративный почтовый шлюз безопасности, обеспечивающий фильтрацию спама, антивирусную проверку и защиту от фишинга. SQL-инъекция в веб-интерфейсе почты представляет серьёзную угрозу: успешная эксплуатация может привести к эскалации привилегий, что в контексте почтового шлюза означает потенциальный доступ к конфиденциальной переписке и возможность манипуляции с почтовыми политиками.
Стоит отметить, что Fortinet в октябре 2026 года раскрыла сразу несколько уязвимостей в своих продуктах. Ранее мы писали об обходе аутентификации в FortiSandbox с CVSS 9.6 и критической уязвимости FortiSIEM с CVSS 9.4. Организациям, использующим несколько продуктов Fortinet, целесообразно провести комплексный аудит версий всей инфраструктуры вендора.
Рекомендации
- Определите используемую версию FortiMail и сверьте её со списком затронутых версий выше.
- Обновите FortiMail до исправленной версии соответствующей ветки (7.6.4, 7.4.6 или 7.2.9). Если возможен переход на ветку 8.0, которая не подвержена уязвимости, — рассмотрите этот вариант.
- Проверьте учётные записи веб-почты: поскольку эксплуатация требует аутентификации, убедитесь в отсутствии скомпрометированных или неиспользуемых учётных записей. Усильте парольные политики.
- Пользователям FortiMail Cloud дополнительных действий не требуется — Fortinet сообщает, что исправление уже применено на стороне облачного сервиса.
Несмотря на то что Fortinet не фиксирует активной эксплуатации CVE-2025-57739, оценка CVSS 7.7 и возможность эскалации привилегий делают обновление приоритетным. SQL-инъекции остаются одним из наиболее хорошо изученных и автоматизируемых классов атак — промедление с установкой патча увеличивает риск по мере появления деталей уязвимости в публичном пространстве. Запланируйте обновление FortiMail в ближайшее окно обслуживания.
