كتوبة ملفات بلا تأهيل من الباب الخلفي دي بوابة البريد — يوم الصفر دي FortiMail CVE-2026-104286 وخاصية IBE
Fortinet عطاوا في 1 أكتوبر على ثغرة يوم صفر path traversal فـ FortiMail (CVE-2026-104286، CVSS 9.8) كتّي كتوبة ملفات ماينين بلا تأهيل، وكايدو exploitation فالواقع. CISA زادتّها فالكتالوج KEV نفس النهار مع آجل federal 4 أكتوبر. ماكاينش أي نسخة مصوّحة منشورة فأي من الفروع الأربعة، حادّا تعطيل خاصية IBE كي إجراء مؤقت — كنظّروها فسياق صعود KEV فنهاية شتنبر.
هاد المقال ترجمو بالآلة.
فـ 1 أكتوبر 2026، Fortinet عطاو على CVE-2026-104286 فـ FortiMail عبر بلاغ PSIRT FG-IR-26-175. هاد النقصان يجمع بين تقييد ما كافي لاسم المسار نحو مديرات محدودة (path traversal، CWE-22) وعدم تعادل كاف لبايتات NULL (CWE-158): مهاجم بلا تأهيل يقدر يكتوب ملفات ماينين على النظام الأساسي عبر طلبات HTTP ولا HTTPS موصوفين. درجة CVSS v3.1 عند NVD هي 9.8 (حرجة، Fortinet PSIRT بلغو بيه كجهة تعيين مركزية CNA). أربعة فروع إصدارات تأثّروا: FortiMail 8.0.0–8.0.1 (تطوير نحو 8.0.2 اللي جاي ولا أعلى)، و7.6.0–7.6.6 (7.6.7 اللي جاي ولا أعلى)، و7.4.0–7.4.8 (7.4.9 اللي جاي ولا أعلى)، و7.2.0–7.2.9 (تطوير نحو الفرع 7.4 ولا أعلى). حتى 2 أكتوبر، التصويحات دي الفروع الثلاثة الأحدث باقات معلّمات «قايدين»، وماكاينش إطلاق مصوّح مبرمج على الفرع 7.2 حتى. Fortinet قالو إنّ النقصان «بلغو بيه مستعمل فحياة»، ودّيو فالعملاء يّطبّقو إجراء التخفيف: عطّل خاصية IBE (التشفير عبر الإنترنت) عبر واجهة الرسوم (Encryption -> IBE -> IBE Service 'off') ولا سطر الأوامر (config system encryption ibe / set status disable)؛ ولا عطّل الوصول للنت نحو واجهة webmail دي FortiMail ولا قيّدها على شبكات خاصة موثوقة؛ ولا، إلا كان فـ WAF قدام، منع طلبات POST نحو /ibe اللي فيها '../'. Fortinet نشر حتى عنوانين IP مصدر وأمثلة من سجلات النظام والتشفير كمؤشرات اختراق IoC، ونسبو الاكتشاف لـ Gwendal Guégniaud من فريق Fortinet دي أمن المنتج (FG-IR-26-175).
CISA زادت النقصان فالكتالوج KEV ديها فـ 1 أكتوبر، وحدّدت للوكالات الاتحادية المدنية آجل حتى 4 أكتوبر — اليوم — (BOD 26-04، تلات أيام من التسجيل). ملاحظات KEV تطلب تطبيق التخفيف اللي الصانع وجّهو حسب BOD 26-04 ومتطلبات CISA دي تقسيم الأدلة الجنائية، وforensicTriage معلّم «أي». مؤشرات Fortinet فيها إدخالات من سجل التشفير ناطقين عن إخفاقات فك تشفير IBE، هاد كاشف على إنّ مسار الاستغلال يمرر من واجهة IBE؛ Fortinet ما وصافش رسميا متجه الهجوم، عشان هاد هو استنتاج ماشي حقيقة (الاستنتاج منفصل عن الوقائع تحت). إدخالات KEV الأخيرة كات 17 إدخالية بين 20 شتنبر و2 أكتوبر: Zyxel GS1900 (CVE-2026-7273)، Arista VeloCloud Orchestrator (CVE-2026-93952)، F5 BIG-IP APM (CVE-2026-94127)، نقصتين فخدّامين إدارة Check Point (CVE-2026-93616 / CVE-2026-85102)، WSO2 (CVE-2026-5430)، Adobe Commerce وMagento (CVE-2026-71362)، MikroTik RouterOS (CVE-2026-67279)، Microsoft SharePoint (CVE-2026-65660)، WordPress Core (CVE-2026-87902)، نقصتين Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771)، Cisco Catalyst SD-WAN Manager (CVE-2026-76504)، Apple (CVE-2026-86950)، نقصان FortiMail هاد (CVE-2026-104286)، ونقصتين Zammad (CVE-2026-102490 / CVE-2026-102489) — بزاف ديها واجهات إدارة ولا ميزات على أجهزة الحدود (كتالوج CISA KEV، 2026.10.02).
التحليل (منفصل عن الوقائع): اللي كيستاهل الانتباه هو إنّ وصول بلا تأهيل لواجهة ما كتطلبش تأهيل كيدي مباشرة لكتوبة ملف بدرجة root. يوم الصفر دي Cisco SEG اللي هاد المرصد غطّاه فـ 15 شتنبر (CVE-2026-76461) كيمن نفس الشكل تقريباً: معالجة طلبات بلا تأهيل فبوابة البريد كاتوصل لتنفيذ بدرجة root عبر حقن SQL، حتى فيه تأكيد استغلال فحياة وبعدين إدراج فـ KEV. يوم صفر على جهازين كيشاركو دور بوابة البريد دخلوا فـ KEV فثلات أسابيع، والهدف فالحالتين واجهة ميزة على البوابة ماشي مسار البريد نفسه. IBE خاصية تشفير بريد بزاف من عمليات النشر فعّلوها لمجموعة محدودة دي المرسلين حتى؛ فين ما كانت مفعّلة، واجهتها ممكن تبقا قابلة للوصول من الإنترنت كأثر جانبي. ميزة وحدة كيخلي مدخل بلا تأهيل — هاد هي النقطة الهيكلية. ملاحظة Fortinet إنّ العيب تكتشف داخلياً كيتبع نفس النمط فنقصان F5 BIG-IP APM (CVE-2026-94127)، وممكن يشير لنافذة استغلال هادية قبل الإفصاح. غياب أي نسخة مصوّحة للفرع 7.2 كيعني هاد المنشآت ما كيشوفو ببساطة «يطبّقو رقعة» قبل آجل 4 أكتوبر: القرار إما تغيير الفرع ولا تعطيل الميزة.
التداعيات الدفاعية: (1) إلا ما كانت IBE مستخدمة، تعطيلها عبر واجهة الرسوم ولا سطر الأوامر هو الأولوية القصوى؛ هاد هو بالضبط «التخفيف حسب تعليمات الصانع» اللي ملاحظات CISA KEV كتشير ليه. (2) إلا كانت IBE مستخدمة، منع طلبات POST نحو /ibe اللي فيها '../' على جدار تطبيقات الويب، ولا قيّد الوصول لـ webmail على شبكات خاصة موثوقة؛ الزوز إجراءات مؤقتة كيتطلبو يقرّبو بالإصدار النهائي. (3) نفّذ الكشف حسب مؤشرات Fortinet (تنفيذ /bin/sh -c اللي cron طلّعو وإضافة حسابات archive فسجلات النظام، واستثناء فك تشفير IBE فسجل التشفير)، مع مراجعة سجلات جدار النار / NetFlow للتحركات دي /ibe، منطقياً من إنّ سجلات الجهاز نفسه ممكن ما يكونوش المصدر الأولي. (4) للمنشآت على الفرع 7.2، بدا الآن خطة الانتقال لـ 7.4 ولا أعلى؛ بلا نسخة مصوّحة، الاستجابة للآجل هي إما الانتقال ولا العزل. (5) فجرد أجهزة الحدود، أعد فحص التعرّض العام لواجهات ميزة وحدة بحال IBE. إدخالتين Citrix NetScaler (تزادو 27 شتنبر) وإدخالية Cisco Catalyst SD-WAN Manager (تزادت 30 شتنبر) جزء من الموجة هاد دي إدخالات KEV، بنفس النافذة التلاتية اليومية. الوقائع رامية لبلاغ Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175)، كتالوج CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، وسجل CVE عند NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). التحليل كيبلقاف منفصل عن التغطية الإخبارية.