Fortinet varuje před zneužívanou chybou ve FortiMail

Fortinet varuje před aktivně zneužívanou chybou CVE-2026-104286 v e-mailové bezpečnostní platformě FortiMail. Kritická zranitelnost se skóre 9,8 z 10 zasahuje čtyři produktové řady, pro některé z nich zatím není dostupná oprava.

Jde o takzvanou zero-day zranitelnost, kterou útočníci používají v reálných útocích. Bez přihlášení mohou přes upravený požadavek HTTP nebo HTTPS zapsat do zařízení libovolný soubor.

Zápis souboru do vhodného umístění může útočníkovi umožnit spuštění vlastního kódu nebo příkazů. Chyba souvisí s webovým rozhraním FortiMail a jeho nesprávným zpracováním cest k souborům a nulových znaků.

Zasažené jsou verze FortiMail 8.0.0 až 8.0.1, 7.6.0 až 7.6.6, 7.4.0 až 7.4.8 a 7.2.0 až 7.2.9. Fortinet neuvedl, kdy útoky začaly, kdo za nimi stojí ani kolik zákazníků mohlo být napadeno.

Americká agentura CISA zařadila chybu do katalogu prokazatelně zneužívaných zranitelností. Federálním civilním úřadům stanovila termín pro prověření zařízení a zavedení ochranných opatření na 4. října 2026.

Opravy pro některé větve FortiMail jsou stále označené jako připravované. Do jejich vydání Fortinet doporučuje vypnout Identity Based Encryption, pokud tato funkce není potřeba. Další možností je odpojit administrační rozhraní FortiMail od internetu a povolit k němu přístup pouze z důvěryhodných privátních sítí.

Náhradní opatření neodstraní soubory ani trvalý přístup, který mohl útočník vytvořit už dříve. Vedle omezení přístupu je proto nutné prověřit také známky dřívějšího napadení.