Компанія Fortinet 13 жовтня 2026 року оприлюднила бюлетень безпеки FG-IR-26-184, у якому розкрито вразливість SQL injection (CVE-2025-57739) у веб-інтерфейсі поштового шлюзу FortiMail. Вразливість отримала оцінку CVSSv3 7.7 (High) і дозволяє автентифікованому зловмиснику виконувати несанкціонований код або команди за допомогою спеціально сформованих HTTP-запитів. Під ударом три гілки FortiMail — 7.2, 7.4 і 7.6; виправлення вже доступні. Адміністраторам on-premise-інсталяцій слід оновити ПЗ у пріоритетному порядку.
Технічні деталі вразливості
Вразливість класифікується як CWE-89 — недостатня нейтралізація спеціальних елементів, що використовуються в SQL-командах. Згідно з бюлетенем Fortinet, атака здійснюється через GUI-компонент (вебпошту FortiMail) за допомогою спеціально сформованих HTTP-запитів. Вектор CVSS (згідно з офіційним записом CVE: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) вказує на мережевий доступ із низькою складністю атаки, але з обов’язковою вимогою автентифікації. Вплив оцінюється як високий за всіма трьома параметрами — конфіденційності, цілісності та доступності.
Ключовий момент: для експлуатації потрібен обліковий запис користувача вебпошти. Це зменшує ймовірність масової автоматизованої атаки, але не усуває загрозу — скомпрометовані або слабкі облікові дані користувачів пошти можуть стати відправною точкою для підвищення привілеїв.
Згідно з бюлетенем Fortinet, вразливість була виявлена внутрішніми засобами компанії. На момент публікації бюлетеня випадки активної експлуатації не зафіксовані.
Уражені версії та виправлення
За даними бюлетеня Fortinet, уразливість стосується таких версій FortiMail:
- FortiMail 7.6: версії з 7.6.0 по 7.6.3 — оновити до 7.6.4 або вище
- FortiMail 7.4: версії з 7.4.0 по 7.4.5 — оновити до 7.4.6 або вище
- FortiMail 7.2: версії з 7.2.0 по 7.2.8 — оновити до 7.2.9 або вище
FortiMail 8.0 не вразлива до цієї вразливості. Для користувачів хмарного сервісу FortiMail Cloud Fortinet повідомляє, що проблему було усунуто ще в першому кварталі 2026 року, і від клієнтів не потрібно жодних дій.
Оцінка впливу
FortiMail широко використовується як корпоративний поштовий шлюз безпеки, що забезпечує фільтрацію спаму, антивірусну перевірку та захист від фішингу. SQL injection у веб-інтерфейсі пошти становить серйозну загрозу: успішна експлуатація може призвести до підвищення привілеїв, що в контексті поштового шлюзу означає потенційний доступ до конфіденційного листування та можливість маніпулювати поштовими політиками.
Варто зазначити, що Fortinet у жовтні 2026 року розкрила відразу кілька вразливостей у своїх продуктах. Раніше ми писали про обхід автентифікації в FortiSandbox з CVSS 9.6 і критичну вразливість FortiSIEM з CVSS 9.4. Організаціям, що використовують кілька продуктів Fortinet, доцільно провести комплексний аудит версій усієї інфраструктури постачальника.
Рекомендації
- Визначте версію FortiMail, яку ви використовуєте, і звірте її зі списком уражених версій вище.
- Оновіть FortiMail до виправленої версії відповідної гілки (7.6.4, 7.4.6 або 7.2.9). Якщо можливий перехід на гілку 8.0, яка не є вразливою до цієї проблеми, — розгляньте цей варіант.
- Перевірте облікові записи вебпошти: оскільки експлуатація потребує автентифікації, переконайтеся у відсутності скомпрометованих або невикористовуваних облікових записів. Посильте політики паролів.
- Користувачам FortiMail Cloud додаткових дій не потрібно — Fortinet повідомляє, що виправлення вже застосовано на стороні хмарного сервісу.
Попри те, що Fortinet не фіксує активної експлуатації CVE-2025-57739, оцінка CVSS 7.7 і можливість підвищення привілеїв роблять оновлення пріоритетним. Атаки типу SQL injection залишаються одним із найбільш добре вивчених та придатних до автоматизації класів атак — зволікання з установленням патча підвищує ризик у міру появи деталей вразливості в публічному просторі. Заплануйте оновлення FortiMail у найближче вікно обслуговування.
