كتابة ملفات غير مُوثّقة عبر البوابة الخلفية لبوّابة البريد — يوم صفر في FortiMail CVE-2026-104286 وخاصية IBE
أعلنت Fortinet في 1 أكتوبر عن ثغرة يوم صفر من نوع تجاوز المسار (path traversal) في FortiMail (CVE-2026-104286، CVSS 9.8) تُمكّن من كتابة ملفات اعتباطية دون مصادقة، مع تأكيد استغلالها في بيئات حقيقية. أضافتها CISA إلى كتالوج KEV في اليوم ذاته مع موعد نهائي اتحادي في 4 أكتوبر. لا توجد أي نسخة مُصحَّحة منشورة في أيٍّ من الفروع الأربعة المتأثرة، لذا تُعدّ تعطيل خاصية IBE إجراءً مؤقتًا — نعرضها في سياق ارتفاع KEV في أواخر سبتمبر.
تُرجمت هذه المقالة آليًا.
في 1 أكتوبر 2026، أعلنت Fortinet عن CVE-2026-104286 في FortiMail عبر إخطار PSIRT FG-IR-26-175. تجمع الثغرة بين تقييد غير كافٍ لاسم المسار نحو مديريّات محدودة (path traversal، CWE-22) وعدم تعادل كافٍ لبايتات NULL (CWE-158): حيث يمكن لمهاجم غير مُوثَّق كتابة ملفات اعتباطية على النظام الأساسي عبر طلبات HTTP أو HTTPS مُهندَسة. تبلغ درجة CVSS v3.1 لدى NVD قيمة 9.8 (حرجة، أبلغ عنها Fortinet PSIRT بصفته جهة التعيين المركزية CNA). تأثرت أربعة فروع إصدارات: FortiMail 8.0.0–8.0.1 (التحديث إلى 8.0.2 المرتقبة أو أحدث)، و7.6.0–7.6.6 (7.6.7 المرتقبة أو أحدث)، و7.4.0–7.4.8 (7.4.9 المرتقبة أو أحدث)، و7.2.0–7.2.9 (التحديث إلى الفرع 7.4 أو أحدث). حتى 2 أكتوبر، ما زالت تصحيحات الفروع الثلاثة الأحدث مُوسمة بوصفها «قادمة»، ولا يوجد إطلاق مصحَّح مخطط له على الفرع 7.2 إطلاقًا. أفادت Fortinet بأن الثغرة «بُليغ عنها مُستَغَلّة في بيئات حية»، وحثت العملاء على تطبيق إجراء التخفيف: تعطيل خاصية IBE (التشفير عبر الإنترنت) عبر الواجهة الرسومية (Encryption -> IBE -> IBE Service 'off') أو سطر الأوامر (config system encryption ibe / set status disable)؛ أو تعطيل الوصول إلى الإنترنت نحو واجهة webmail في FortiMail أو تقييده بشبكات خاصة موثوقة؛ أو، عند وجود جدار تطبيقات ويب (WAF) أمامه، منع طلبات POST نحو /ibe التي تتضمن '../'. نشرت Fortinet أيضًا عنوانَي IP مصدرًا وأمثلة من سجلات النظام والتشفير بوصفها مؤشرات اختراق IoC، ونسبت الاكتشاف إلى Gwendal Guégniaud من فريق Fortinet لأمن المنتج (FG-IR-26-175).
أضافت CISA الثغرة إلى كتالوج KEV الخاص بها في 1 أكتوبر، وحددت للوكالات الاتحادية المدنية موعدًا نهائيًا حتى 4 أكتوبر — اليوم — (BOD 26-04، ثلاثة أيام من التسجيل). تُطلب ملاحظات KEV تطبيق التخفيف المُوجَّه من الصانع وفق BOD 26-04 ومتطلبات CISA لتقسيم الأدلة الجنائية، وforensicTriage مُوسم بـ«نعم». تتضمن مؤشرات Fortinet إدخالات من سجل التشفير ناتجة عن إخفاقات فك تشفير IBE، مما يُشكِّك في أن مسار الاستغلال يعبر واجهة IBE؛ لم تُفصِّل Fortinet رسميًا متجه الهجوم، لذا يُعتبَر ذلك استنتاجًا لا حقيقة (يُنفصل الاستنتاج عن الوقائع أدناه). تُظهر إدخالات KEV الأخيرة 17 إدخالية بين 20 سبتمبر و2 أكتوبر: Zyxel GS1900 (CVE-2026-7273)، وArista VeloCloud Orchestrator (CVE-2026-93952)، وF5 BIG-IP APM (CVE-2026-94127)، وثغرتا خادمَي إدارة Check Point (CVE-2026-93616 / CVE-2026-85102)، وWSO2 (CVE-2026-5430)، وAdobe Commerce وMagento (CVE-2026-71362)، وMikroTik RouterOS (CVE-2026-67279)، وMicrosoft SharePoint (CVE-2026-65660)، وWordPress Core (CVE-2026-87902)، وثغرتا Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771)، وCisco Catalyst SD-WAN Manager (CVE-2026-76504)، وApple (CVE-2026-86950)، وثغرة FortiMail هذه (CVE-2026-104286)، وثغرتا Zammad (CVE-2026-102490 / CVE-2026-102489) — كثيرٌ منها واجهات إدارة أو ميزات على أجهزة الحدود (كتالوج CISA KEV، 2026.10.02).
التحليل (مُنفصل عن الوقائع): ما يستحق الانتباه هو أن وصولًا غير مُوثَّق نحو واجهة لا تطلب المصادقة يقود مباشرة إلى كتابة ملف بمستوى root. يوم الصفر لدى Cisco SEG الذي غطّاه هذا المرصد في 15 سبتمبر (CVE-2026-76461) بنفس الشكل تقريبًا: معالجة طلبات غير مُوثَّقة في بوابة بريد تصل إلى تنفيذ بمستوى root عبر حقن SQL، مع تأكيد استغلال بيئي ثم الإدراج في KEV. دخل يوم صفر على جهازين يتشاركان دور بوابة البريد إلى KEV في غضون ثلاثة أسابيع، والهدف في الحالتين واجهة ميزة على البوابة لا مسار البريد نفسه. IBE خاصية تشفير بريد قد يكون كثير من عمليات النشر فعّلتها لمجموعة محدودة من المرسلين فقط؛ حيثما كانت مفعّلة، قد تبقى واجهتها قابلة للوصول من الإنترنت كأثر جانبي. ميزة واحدة تُبقي مدخلًا غير مُوثَّق — هذه هي النقطة الهيكلية. ملاحظة Fortinet بأن العيب اكتُشف داخليًا تتبّع النمط نفسه في ثغرة F5 BIG-IP APM (CVE-2026-94127)، وقد تُشير إلى نافذة استغلال صامتة قبل الإفصاح. غياب أي نسخة مصحَّحة للفرع 7.2 يعني أن هذه المنشآت لا تستطيع ببساطة «تطبيق الرقعة» قبل الموعد النهائي في 4 أكتوبر: القرار إمّا تغيير الفرع أو تعطيل الميزة.
التداعيات الدفاعية: (1) إذا لم تكن IBE مستخدمة، فإن تعطيلها عبر الواجهة الرسومية أو سطر الأوامر هو الأولوية القصوى؛ إنه على وجه الدقة «التخفيف بحسب تعليمات الصانع» الذي تُشير إليه ملاحظات CISA KEV. (2) إذا كانت IBE مستخدمة، امنع طلبات POST نحو /ibe التي تتضمن '../' عبر جدار تطبيقات الويب، أو قيّد الوصول إلى webmail بشبكات خاصة موثوقة؛ كلاهما إجراء مؤقت ينبغي إقرانه بالإصدار النهائي. (3) نفّذ الكشف وفق مؤشرات Fortinet (تنفيذ /bin/sh -c المُطلَق عبر cron وإضافة حسابات archive في سجلات النظام، واستثناء فك تشفير IBE في سجل التشفير)، مع مراجعة سجلات جدار النار / NetFlow نحو حركة المرور المتجهة إلى /ibe، منطقيًا من أن سجلات الجهاز نفسه قد لم تعد المصدر الأولي. (4) للمنشآت على الفرع 7.2، ابدأ الآن خطة الانتقال إلى 7.4 أو أحدث؛ بدون نسخة مصحَّحة، تكون الاستجابة للموعد النهائي إمّا الانتقال أو العزل. (5) في جرد أجهزة الحدود، أعد فحص التعرُّض العام لواجهات ميزة واحدة كهذه IBE. إدخالتا Citrix NetScaler (أُضيفتا في 27 سبتمبر) وإدخالية Cisco Catalyst SD-WAN Manager (أُضيفت في 30 سبتمبر) جزء من الموجة ذاتها من إدخالات KEV، بنفس النافذة اليومية الثلاثية. ترمي الوقائع إلى إخطار Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175)، وكتالوج CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، وسجل CVE لدى NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). يُبقي التحليل منفصلًا عن التغطية الإخبارية.