CISA ha inserito nel catalogo delle vulnerabilità sfruttate attivamente una falla critica di Fortinet FortiMail, identificata come CVE-2026-104286. Il problema può consentire a un attaccante non autenticato di scrivere file arbitrari sul sistema tramite richieste HTTP o HTTPS appositamente predisposte.
Fortinet ha confermato lo sfruttamento in attacchi reali e indica aggiornamenti o misure temporanee per le versioni coinvolte. Per chi espone l’interfaccia di gestione di FortiMail su Internet, la priorità è ridurre subito la superficie d’attacco.
Che cosa permette di fare la vulnerabilità
La falla nasce dalla combinazione di un problema di path traversal, cioè una gestione insufficiente dei percorsi dei file, e dall’errata neutralizzazione di caratteri NULL. Secondo l’avviso di Fortinet, un attaccante che non ha effettuato l’accesso può sfruttare richieste HTTP o HTTPS costruite ad hoc per scrivere file arbitrari sul sistema sottostante.
Non si tratta quindi di una debolezza limitata a un account già compromesso: l’assenza di autenticazione è il dettaglio che alza sensibilmente la gravità del caso. Il punteggio CVSS attribuito alla CVE-2026-104286 è 9,8 su 10.
La CISA ha aggiunto la vulnerabilità al proprio catalogo KEV, dedicato ai difetti per i quali esistono evidenze di sfruttamento. Fortinet, dal canto suo, ha riconosciuto che il problema è stato sfruttato in natura.
Versioni di FortiMail interessate
L’avviso riguarda quattro rami del prodotto. Sono coinvolte FortiMail 8.0.0 e 8.0.1, per cui viene indicato l’aggiornamento alla futura 8.0.2 o successiva; FortiMail 7.6.0-7.6.6, da portare alla futura 7.6.7 o successiva; e FortiMail 7.4.0-7.4.8, per le quali è previsto il passaggio alla futura 7.4.9 o superiore.
Per FortiMail 7.2.0-7.2.9, invece, Fortinet raccomanda l’aggiornamento al ramo 7.4 o a uno successivo. Al momento dell’avviso, dunque, alcune correzioni risultano indicate come imminenti e non come versioni già pubblicate: in questi casi diventano essenziali le mitigazioni previste dal produttore.
Le mitigazioni indicate da Fortinet
In attesa delle versioni corrette per i rami interessati, Fortinet suggerisce di disabilitare il supporto alla funzione IBE tramite riga di comando:
config system encryption ibe
set status disable
endL’altra indicazione riguarda l’accesso amministrativo: l’interfaccia di gestione non dovrebbe essere raggiungibile da Internet oppure dovrebbe essere limitata a reti private affidabili.
Questa seconda misura interviene direttamente sul vettore descritto nell’avviso, che passa da richieste HTTP o HTTPS. Non sostituisce l’aggiornamento quando disponibile, ma riduce l’esposizione mentre si pianifica l’intervento.
Indicatori condivisi per le verifiche
Fortinet ha pubblicato anche indicatori di compromissione associati agli attacchi osservati. Fra gli indirizzi IP segnalati compaiono 79.141.169.187 e 45.129.0.192.
L’elenco comprende inoltre file aggiunti, come /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice e /data/etc/ld.so.preload, oltre a file modificati quali /bin/smit, /data/etc/httpd.conf e /data/migadmin.tar.gz. Sono elementi utili per controlli mirati sui sistemi esposti, senza che la loro assenza escluda da sola una compromissione.
FAQ
Quali installazioni FortiMail devono intervenire?
Sono interessate le versioni 8.0.0-8.0.1, 7.6.0-7.6.6, 7.4.0-7.4.8 e 7.2.0-7.2.9. Le azioni richieste variano in base al ramo: aggiornamento a una release corretta quando disponibile, oppure passaggio al ramo 7.4 per la serie 7.2.
La falla richiede credenziali valide?
No. Fortinet descrive un attacco non autenticato, eseguibile attraverso richieste HTTP o HTTPS predisposte per sfruttare la gestione dei percorsi e dei caratteri NULL.
Che cosa fare se non è ancora disponibile la patch?
Fortinet indica di disabilitare il supporto IBE con il comando CLI indicato nell’avviso e di togliere l’interfaccia di gestione dall’esposizione Internet, oppure di limitarne l’accesso a reti private fidate.
Considerazioni finali
La combinazione fra sfruttamento attivo, assenza di autenticazione e possibilità di scrivere file rende questo avviso particolarmente concreto. Non è una vulnerabilità da trattare come un semplice aggiornamento di routine, soprattutto sulle appliance la cui gestione è raggiungibile dalla rete pubblica.
Le mitigazioni indicate da Fortinet hanno un valore immediato proprio perché alcune release corrette erano ancora segnalate come future. Ridurre l’accesso all’interfaccia amministrativa e disabilitare IBE, dove applicabile, con il comando fornito dal produttore è il passaggio documentato che pesa di più fino all’installazione dell’aggiornamento adatto.