Nueva vulnerabilidad y ataque activo a FortiMai
Segu-Info · 4 oct, 16:00
Qué hacer: Actualiza FortiMail a la versión mínima especificada para tu rama (8.0.2, 7.6.7, 7.4.9 o 7.4+) e inmediatamente deshabilita IBE y restringe el acceso a la interfaz de gestión a redes privadas de confianza.
CISA añadió a su catálogo de vulnerabilidades explotadas el CVE-2026-104286 en Fortinet FortiMail, un fallo crítico (CVSS 9,8) de path traversal que permite escribir archivos arbitrarios sin autenticación. La vulnerabilidad está siendo explotada activamente en entornos reales, afectando a múltiples versiones de FortiMail desde la 7.2.0 hasta la 8.0.1.
El defecto combina path traversal (CWE-22) y neutralización inadecuada de bytes nulos (CWE-158), permitiendo a atacantes no autenticados escribir archivos arbitrarios mediante solicitudes HTTP o HTTPS especialmente manipuladas. Fortinet ha proporcionado parches: FortiMail 8.0.x debe actualizar a 8.0.2 o superior, 7.6.x a 7.6.7 o superior, 7.4.x a 7.4.9 o superior, y 7.2.x debe migrar a rama 7.4 o superior.
Mientras se aplican los parches, Fortinet recomienda deshabilitar la compatibilidad IBE mediante CLI, y restringir el acceso a la interfaz de gestión únicamente a redes privadas de confianza. Se han reportado indicadores de compromiso incluyendo dos direcciones IP atacantes (79.141.169.187 y 45.129.0.192) y modificaciones en archivos críticos del sistema como /bin/smit, /data/etc/httpd.conf y /data/migadmin.tar.gz, junto con nuevos binarios maliciosos inyectados.
Puntos clave
- Actualiza FortiMail: 8.0.x a 8.0.2+, 7.6.x a 7.6.7+, 7.4.x a 7.4.9+, 7.2.x a rama 7.4+
- Deshabilita IBE mediante config system encryption ibe set status disable
- Restringe el acceso a la interfaz de gestión únicamente a redes privadas de confianza
- Indicadores: IPs 79.141.169.187 y 45.129.0.192, archivos modificados /bin/smit, /data/etc/httpd.conf, /data/migadmin.tar.gz