كتابة ملفات من غير ما مصادقة من الباب الخلفي لبوّابة البريد — يوم الصفر دي FortiMail CVE-2026-104286 وخاصية IBE
Fortinet أعلنت في 1 أكتوبر عن ثغرة يوم صفر path traversal في FortiMail (CVE-2026-104286، CVSS 9.8) بتسمح تكتب ملفات أي بدون ما مصادقة، وأكدت إن اتستغلّت في بيئات حقيقية. CISA ضيفتها في كتالوج KEV بنفس اليوم مع آخر مهلة اتحادية في 4 أكتوبر. مفيش نسخة مصححة منشورة في أي من الأربع فروع المصابة، عشان كده تعطيل خاصية IBE إجراء مؤقت — بنعرضها في سياق ارتفاع KEV في آخر سبتمبر.
المقالة دي اتترجمت بالآلة.
في 1 أكتوبر 2026، Fortinet أعلنت عن CVE-2026-104286 في FortiMail عبر إشعار PSIRT FG-IR-26-175. الثغرة دي تجمع بين تقييد مش كفاية لاسم المسار تجاه مديرات معينة (path traversal، CWE-22) وعدم تعادل كفاية لبايتات NULL (CWE-158): مهاجم من غير مصادقة يقدر يكتب ملفات أي على النظام الأساسي من طلبات HTTP أو HTTPS متظبّطة. درجة CVSS v3.1 عندها NVD هي 9.8 (حرجة، Fortinet PSIRT أبلغ عنها كجهة تعيين مركزية CNA). أربعة فروع إصدارات اتأثروا: FortiMail 8.0.0–8.0.1 (ترقية لـ 8.0.2 اللي جاية أو أحدث)، و7.6.0–7.6.6 (7.6.7 اللي جاية أو أحدث)، و7.4.0–7.4.8 (7.4.9 اللي جاية أو أحدث)، و7.2.0–7.2.9 (ترقية للفرع 7.4 أو أحدث). لحد 2 أكتوبر، تصحيحات الفروع التلاتة الأحدث لسه متعلّمة «قادمة»، ومفيش إطلاق مصحح مخطط له على الفرع 7.2 خالص. Fortinet قالت إن الثغرة «اتبلغ إنها اتستغلت في بيئات حية»، وشدّدت على العملاء يطبّقوا إجراء التخفيف: عطّل خاصية IBE (التشفير عبر الإنترنت) من الواجهة الرسومية (Encryption -> IBE -> IBE Service 'off') أو سطر الأوامر (config system encryption ibe / set status disable)؛ أو عطّل الوصول للإنترنت لواجهة webmail في FortiMail أو قيّدها على شبكات خاصة موثوقة؛ أو، لو في جدار تطبيقات ويب (WAF) قدامها، منع طلبات POST لـ /ibe اللي فيها '../'. Fortinet نشرت كمان عنوانين IP مصدر وأمثلة من سجلات النظام والتشفير كمؤشرات اختراق IoC، ونسبت الاكتشاف لـ Gwendal Guégniaud من فريق Fortinet لأمن المنتج (FG-IR-26-175).
CISA ضفت الثغرة في كتالوج KEV بتاعها في 1 أكتوبر، وحددت للوكالات الاتحادية المدنية آخر مهلة لحد 4 أكتوبر — اليوم — (BOD 26-04، تلات أيام من التسجيل). ملاحظات KEV بتطلب تطبيع التخفيف اللي الصانع موجّهه بحسب BOD 26-04 ومتطلبات CISA لتقسيم الأدلة الجنائية، وforensicTriage معلّم «نعم». مؤشرات Fortinet فيها إدخالات من سجل التشفير ناتجة عن إخفاقات فك تشفير IBE، ده بيومئ إن مسار الاستغلال بيمر من واجهة IBE؛ Fortinet مش فرّغت رسميًا متجه الهجوم، عشان كده ده استنتاج مش حقيقة (الاستنتاج منفصل عن الوقائع تحت). إدخالات KEV الأخيرة بتوري 17 إدخالية بين 20 سبتمبر و2 أكتوبر: Zyxel GS1900 (CVE-2026-7273)، Arista VeloCloud Orchestrator (CVE-2026-93952)، F5 BIG-IP APM (CVE-2026-94127)، ثغرتين على خدام إدارة Check Point (CVE-2026-93616 / CVE-2026-85102)، WSO2 (CVE-2026-5430)، Adobe Commerce وMagento (CVE-2026-71362)، MikroTik RouterOS (CVE-2026-67279)، Microsoft SharePoint (CVE-2026-65660)، WordPress Core (CVE-2026-87902)، ثغرتين Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771)، Cisco Catalyst SD-WAN Manager (CVE-2026-76504)، Apple (CVE-2026-86950)، ثغرة FortiMail دي (CVE-2026-104286)، وثغرتين Zammad (CVE-2026-102490 / CVE-2026-102489) — ناس منها واجهات إدارة أو ميزات على أجهزة الحدود (كتالوج CISA KEV، 2026.10.02).
التحليل (منفصل عن الوقائع): اللي يستاهل انتباه هو إن وصول من غير مصادقة لواجهة ما بتطلبش مصادقة بيدّي مباشرة كتابة ملف بمستوى root. يوم الصفر اللي في Cisco SEG اللي المرصد ده غطّاه في 15 سبتمبر (CVE-2026-76461) شكله شبه نفسه: معالجة طلبات من غير مصادقة في بوابة بريد بتوصل لتنفيذ بمستوى root عبر حقن SQL، كمان فيه تأكيد استغلال بيئي وبعدين إدراج في KEV. يوم صفر على جهازين بيتشاركوا دور بوابة البريد دخلوا في KEV في تلات أسابيع، والهدف في الحالتين واجهة ميزة على البوابة مش مسار البريد نفسه. IBE خاصية تشفير بريد كتير من عمليات النشر فعّلوها لمجموعة محدودة من المرسلين بس؛ لحيث ما كانت مفعّلة، واجهتها ممكن تبقى قابلة للوصول من الإنترنت كأثر جانبي. ميزة واحدة باقية مدخل من غير مصادقة — دي النقطة الهيكلية. ملاحظة Fortinet إن العيب اتكتشف جوهاني بتتبّع نفس النمط في ثغرة F5 BIG-IP APM (CVE-2026-94127)، ويمكن تشير لنافذة استغلال هادية قبل الإفصاح. غياب أي نسخة مصححة للفرع 7.2 يعني المنشآت دي مش قادرة ببساطة «تطبق رقعة» قبل آخر مهلة 4 أكتوبر: القرار إمّا تغيير الفرع أو تعطيل الميزة.
التداعيات الدفاعية: (1) لو IBE مستخدمةش، تعطيلها من الواجهة الرسومية أو سطر الأوامر هو الأولوية الأولى؛ ده بالظبط «التخفيف بحسب تعليمات الصانع» اللي ملاحظات CISA KEV بتشيرله. (2) لو IBE مستخدمة، منع طلبات POST لـ /ibe اللي فيها '../' على جدار تطبيقات الويب، أو قيّد الوصول لـ webmail على شبكات خاصة موثوقة؛ الاتنين إجراءات مؤقتة لازم تقربهم بالإصدار النهائي. (3) نفّذ الكشف بحسب مؤشرات Fortinet (تنفيذ /bin/sh -c اللي cron طلّعه وإضافة حسابات archive في سجلات النظام، واستثناء فك تشفير IBE في سجل التشفير)، مع مراجعة سجلات جدار النار / NetFlow لحركة المتجهة لـ /ibe، منطقيًا من إن سجلات الجهاز نفسه ممكن ما تكونش المصدر الأولي تاني. (4) للمنشآت على الفرع 7.2، ابدأ دلوقتي خطة الانتقال لـ 7.4 أو أحدث؛ من غير نسخة مصححة، الاستجابة لآخر مهلة هي إمّا الانتقال أو العزل. (5) في جرد أجهزة الحدود، أعد فحص التعرّض العام لواجهات ميزة واحدة زي IBE. إدخالتين Citrix NetScaler (اتضفوا 27 سبتمبر) وإدخالية Cisco Catalyst SD-WAN Manager (اتضفت 30 سبتمبر) جزء من الموجة دي كلها من إدخالات KEV، بنفس النافذة اليومية التلاتية. الوقائع رامية لإشعار Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175)، كتالوج CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، وسجل CVE على NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). التحليل باقى منفصل عن التغطية الإخبارية.