Fortinet предупредила клиентов о критической уязвимости в почтовом шлюзе FortiMail, которую уже активно используют злоумышленники. Ошибка получила номер CVE-2026-104286 и оценку 9,8 из 10 по шкале CVSS. Она находится в интерфейсе управления устройством.

Что за уязвимость

По описанию Fortinet, это сочетание двух ошибок: обхода каталогов (path traversal) и некорректной обработки нулевого байта. Вместе они позволяют злоумышленнику без авторизации записывать произвольные файлы в систему с помощью специально подготовленных HTTP- или HTTPS-запросов, а значит, выполнять на устройстве свой код и команды. Уязвимость обнаружил сотрудник службы безопасности продуктов Fortinet Гвендаль Геньо.

Какие версии затронуты

  • FortiMail 8.0.0–8.0.1 — исправление выйдет в версии 8.0.2;
  • FortiMail 7.6.0–7.6.6 — исправление в 7.6.7;
  • FortiMail 7.4.0–7.4.8 — исправление в 7.4.9;
  • FortiMail 7.2.0–7.2.9 — нужно обновиться до ветки 7.4 или новее.

Главная проблема: на момент публикации обновления для веток 7.4, 7.6 и 8.0 ещё не вышли. Fortinet только перечислила будущие версии с исправлением.

Как защититься до выхода обновления

  • Отключить поддержку функции IBE (шифрование на основе идентификаторов) командой в консоли устройства — её Fortinet привела в бюллетене.
  • Закрыть доступ к интерфейсу управления FortiMail из интернета или разрешить его только из доверенных внутренних сетей.
  • Проверить устройство по индикаторам компрометации, которые опубликовала Fortinet.

Признаки взлома

Fortinet перечислила файлы, которые добавляются или изменяются на взломанных устройствах, и IP-адреса атакующих: 79.141.169.187 и 45.129.0.192. В бюллетене есть и примеры записей в журналах. Одна из них показывает, как из командной строки настраивается архивный аккаунт archive234 с удалённым сервером 79.141.169.187 и каталогом /uploads. По оценке BleepingComputer, это может означать, что злоумышленники настраивали взломанный шлюз на отправку архивов почты на свой сервер. Среди других признаков — задания cron с командами, связанными с /migadmin, ошибки расшифровки IBE из-за неверной кодировки Base64 и неудачные попытки входа.

Почему это серьёзно

Почтовые шлюзы — лакомая цель: через них проходит вся корпоративная переписка, включая вложения и пароли, которые сотрудники пересылают друг другу. Если ваша организация использует FortiMail, администраторам стоит применить временные меры немедленно, не дожидаясь патча, и проверить журналы за последние недели.

Источники: BleepingComputer.