Critical FortiMail Zero-Day Flaw Exploited in Attacks Allows Unauthenticated Arbitrary File Writes
The Hacker News · 2 oct, 07:49
Qué hacer: Actualiza FortiMail a versión 7.4.9, 7.6.7 u 8.0.2 o superior según tu rama actual; en tanto, deshabilita la funcionalidad IBE mediante CLI y restringe el acceso a la interfaz de gestión desde Internet.
Fortinet añadió a su catálogo de vulnerabilidades explotadas activamente un fallo crítico en FortiMail (CVE-2026-104286, CVSS 9.8) que permite a atacantes no autenticados escribir archivos arbitrarios en el sistema mediante path traversal. CISA incluyó la vulnerabilidad en su registro de vulnerabilidades conocidas explotadas, y Fortinet reconoce el ataque en el salvaje. Las agencias federales estadounidenses deben aplicar parches o mitigaciones antes del 4 de octubre.
La vulnerabilidad CVE-2026-104286 afecta a FortiMail 7.2.0-7.2.9, 7.4.0-7.4.8, 7.6.0-7.6.6 y 8.0.0-8.0.1. Se origina en la limitación insuficiente de rutas de directorios combinada con una neutralización inadecuada de caracteres NULL, permitiendo a atacantes no autenticados ejecutar escrituras arbitrarias de archivos mediante solicitudes HTTP o HTTPS manipuladas.
FortiNet ha proporcionado indicadores de compromiso, incluyendo dos direcciones IP utilizadas en los ataques (79.141.169.187 y 45.129.0.192) y archivos añadidos o modificados en sistemas comprometidos (/data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice, /data/etc/ld.so.preload, /bin/smit y otros). Como mitigación temporal, se recomienda deshabilitar la funcionalidad IBE mediante la interfaz de línea de comandos y restringir el acceso a la interfaz de gestión solo desde redes privadas de confianza.
Puntos clave
- CVE-2026-104286 con CVSS 9.8 en FortiMail, explotado activamente en el salvaje
- Afecta a versiones 7.2.0-7.2.9, 7.4.0-7.4.8, 7.6.0-7.6.6 y 8.0.0-8.0.1
- Mitigación: deshabilitar IBE y restringir acceso a interfaz de gestión desde Internet
- Indicadores de compromiso incluyen IP 79.141.169.187 y 45.129.0.192, y archivos comprometidos
- Plazo FCEB: aplicar parches o mitigaciones antes del 4 de octubre de 2026