Fortinet warns of critical FortiMail flaw exploited in zero-day attacks
BleepingComputer · 2 oct, 00:42
Fortinet advierte sobre una vulnerabilidad crítica en FortiMail (CVE-2026-104286) con puntuación CVSS 9.8 que se está explotando activamente en ataques zero-day. El fallo de traversal de rutas permite a atacantes no autenticados escribir archivos arbitrarios en sistemas vulnerables a través de solicitudes HTTP/HTTPS. Afecta a FortiMail 7.2.0 a 8.0.1 y CISA ha añadido la vulnerabilidad a su catálogo de vulnerabilidades conocidas explotadas, requiriendo a agencias federales mitigación antes del 4 de octubre.
La vulnerabilidad CVE-2026-104286 es un defecto de path traversal (CWE-22) combinado con impropia neutralización de caracteres NULL (CWE-158) en la interfaz de gestión de FortiMail. Los atacantes sin autenticación pueden escribir archivos arbitrarios en el sistema subyacente mediante solicitudes HTTP/HTTPS elaboradas. Los datos del incidente muestran modificación de archivos críticos como /bin/smit y /data/etc/httpd.conf, adición de librerías compartidas potencialmente maliciosas como /data/lib/liblog.so, y configuración de cuentas de archivo remotas apuntando a servidores controlados por atacantes (79.141.169.187 y 45.129.0.192).
Fortinet ha confirmado que las versiones corregidas (7.4.9, 7.6.7 y 8.0.2) están en desarrollo pero aún no disponibles. Como mitigaciones inmediatas, Fortinet proporciona comandos para deshabilitar la funcionalidad IBE o restringir el acceso a la interfaz de gestión desde Internet. Se incluyen indicadores técnicos de compromiso incluyendo hashes SHA-256 de archivos modificados y entradas de registro características de la explotación, como intentos de login fallidos y tareas cron ejecutando comandos maliciosos.
Puntos clave
- Afecta FortiMail 7.2.0–8.0.1; versiones corregidas (7.4.9, 7.6.7, 8.0.2) aún pendientes
- Path traversal + CWE-158 permite escritura arbitraria sin autenticación; CVSS 9.8
- Mitigación: deshabilitar IBE (config system encryption ibe; set status disable) o restringir acceso desde Internet
- CISA añadió a Known Exploited Vulnerabilities; plazo de mitigación federal: 4 de octubre
- Indicadores técnicos publicados: hashes SHA-256, IPs atacantes (79.141.169.187, 45.129.0.192), patrones de log
Figuras de la fuente
