Fortinet opublikował poprawki dla krytycznej podatności zero-day w FortiMail, czyli bramie bezpieczeństwa poczty e-mail używanej w wielu firmach i instytucjach. Luka oznaczona jako CVE-2026-104286 ma wynik 9,8 w skali CVSS i jest już wykorzystywana w prawdziwych atakach. Amerykańska agencja CISA dodała ją do katalogu znanych, aktywnie wykorzystywanych podatności (KEV).
Na czym polega luka
Błąd wynika z nieprawidłowej obsługi ścieżek plików (path traversal) oraz znaków NULL w żądaniach HTTP/HTTPS. Atakujący, który nie musi się logować, może wysłać odpowiednio spreparowane żądanie i zapisać dowolny plik w systemie urządzenia. W praktyce oznacza to możliwość podmiany plików wykonywalnych, bibliotek i konfiguracji, a więc przejęcie kontroli nad serwerem pocztowym.
Zagrożone są wersje FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 oraz 7.2.0–7.2.9. Poprawki dostępne są w wersjach 8.0.2, 7.6.7 i 7.4.9 lub nowszych. Użytkownicy gałęzi 7.2 powinni przejść na nowszą, wspieraną wersję.
Dlaczego brama pocztowa to atrakcyjny cel
Serwer, przez który przechodzi cała korespondencja firmy, widzi poufne dokumenty, faktury i linki resetujące hasła. Przejęcie takiego urządzenia pozwala nie tylko czytać pocztę, lecz także ukrywać się przed systemami ochrony, bo to właśnie ono ma te systemy zasilać. Urządzenia brzegowe, takie jak FortiMail, firewalle czy VPN-y, są od miesięcy jednym z ulubionych celów grup ransomware i atakujących powiązanych z państwami.
Jak sprawdzić, czy doszło do włamania
Fortinet i analitycy wskazują ślady kompromitacji: zmodyfikowane lub nowe pliki liblog.so, webconsole, mailservice, smit, ld.so.preload, httpd.conf oraz archiwum migadmin.tar.gz. Warto też sprawdzić w logach połączenia z adresów 79.141.169.187 oraz 45.129.0.192. Obecność któregokolwiek z tych elementów powinna uruchomić pełną procedurę reagowania na incydent.
Co zrobić już teraz
- Zaktualizuj FortiMail do wersji naprawionej, a jeśli nie możesz tego zrobić od razu, wyłącz funkcję IBE poleceniem: config system encryption ibe, następnie set status disable.
- Ogranicz dostęp do interfejsu zarządzania wyłącznie do zaufanych sieci prywatnych lub VPN-u, bez wystawiania go do internetu.
- Przejrzyj logi i sprawdź obecność wskazanych plików oraz adresów IP.
- W razie podejrzenia włamania zmień hasła i klucze przechowywane na urządzeniu oraz przeanalizuj, czy nie doszło do wycieku poczty.
Podsumowanie
Kolejna krytyczna luka w urządzeniu brzegowym pokazuje, że zwlekanie z aktualizacjami kosztuje. Skoro exploit jest już w obiegu, a CISA wyznaczyła instytucjom federalnym termin na 4 października, również polskie firmy powinny potraktować poprawkę jako pilną. Wyłączenie zbędnych funkcji i odcięcie panelu administracyjnego od internetu to proste kroki, które realnie zmniejszają ryzyko.
źródło: https://thehackernews.com/2026/10/critical-fortimail-zero-day-flaw.html