Krytyczna luka zero-day w FortiMail wykorzystywana w atakach. Zaktualizuj bramki pocztowe

Fortinet potwierdził, że krytyczna podatność w bramce pocztowej FortiMail jest już wykorzystywana w prawdziwych atakach. Luka oznaczona jako CVE-2026-104286 otrzymała ocenę 9,8 w skali CVSS i pozwala napastnikowi bez żadnego logowania zapisywać dowolne pliki w systemie urządzenia.

Na czym polega problem

Podatność łączy dwa błędy: przechodzenie po ścieżkach katalogów (CWE-22) oraz niewłaściwą obsługę znaku NULL (CWE-158). Napastnik wysyła do urządzenia spreparowane zapytanie HTTP lub HTTPS i zapisuje plik tam, gdzie chce. W praktyce to prosta droga do przejęcia urządzenia, które z definicji stoi na styku firmy z internetem i widzi całą korespondencję.

Amerykańska agencja CISA wpisała lukę do katalogu podatności aktywnie wykorzystywanych (KEV) i dała urzędom federalnym czas na łatanie do 4 października. Tak krótki termin oznacza, że sytuacja jest poważna.

Których wersji dotyczy

Co zrobić teraz

1. Zaktualizuj FortiMail do wersji z poprawką. To jedyne pełne rozwiązanie.
2. Jeśli aktualizacja musi poczekać, wyłącz funkcję IBE (szyfrowanie oparte na tożsamości) poleceniem z komunikatu producenta.
3. Ogranicz dostęp do panelu administracyjnego wyłącznie do zaufanych sieci. Panel zarządzania bramki pocztowej nie powinien być widoczny z internetu.
4. Sprawdź ślady włamania. Fortinet opublikował adresy IP napastników oraz listę plików dodawanych lub zmienianych podczas ataku. Jeśli urządzenie było wystawione do sieci przed aktualizacją, przejrzyj je pod tym kątem.

Komentarz SecurHUB

Bramki pocztowe, VPN-y i zapory to dziś ulubiony cel atakujących. Stoją na brzegu sieci, mają szerokie uprawnienia i rzadko obejmuje je monitoring na poziomie stacji roboczych. Jeśli Twoja organizacja podlega NIS2 lub znowelizowanej ustawie o KSC, szybkie łatanie urządzeń brzegowych jest wprost elementem zarządzania podatnościami, z którego trzeba się rozliczyć.

Potrzebujesz pomocy w sprawdzeniu, czy urządzenie nie zostało już przejęte? Napisz do nas.

Źródła: The Hacker News