ইমেইল গেটওয়ের পিছন-দরজা দিয়ে অননুমোদিত ফাইল লেখা — FortiMail zero-day CVE-2026-104286 এবং IBE ফিচার
১ অক্টোবর Fortinet FortiMail-এ path traversal zero-day (CVE-2026-104286, CVSS 9.8) প্রকাশ করেছে, যা সনদহীন (unauthenticated) আকাঙ্ক্ষিত ফাইল লেখার সুযোগ দেয়, এবং বাস্তব ব্যবহার নিশ্চিত করেছে। CISA একই দিনে KEV ক্যাটালগে যুক্ত করেছে, ফেডারেল সময়সীমা ৪ অক্টোবর। প্রভাবিত চারটি ব্রাঞ্চের কোনোটিতেই সংশোধিত রিলিজ প্রকাশিত হয়নি, তাই IBE বন্ধ রাখা সাময়িক উपाয — সেপ্টেম্বরের শেষের KEV বৃদ্ধির সঙ্গে এটি দেখছি।
এই নিবন্ধটি মেশিনে অনুবাদ করা হয়েছে।
১ অক্টোবর ২০২৬ তারিখে Fortinet PSIRT বিজ্ঞপ্তি FG-IR-26-175-এর মাধ্যমে FortiMail-এর CVE-2026-104286 প্রকাশ করেছে। ত্রুটিটি একটি নির্দিষ্ট পরিচালকের মধ্যে পাথের অপ্রতুল সীমাবদ্ধতা (path traversal, CWE-22) এবং NULL বাইটের অপ্রতুল নিবারণ (CWE-158)-এর সংমিশ্রণ: সনদহীন আক্রমণকারী রচনাকৃত HTTP/HTTPS অনুরোধের মাধ্যমে মূল সিস্টেমে যেকোনো ফাইল লিখতে পারে। NVD-এর CVSS v3.1 স্কোর ৯.৮ (CRITICAL, Fortinet PSIRT CNA হিসেবে রিপোর্ট করেছে)। চারটি রিলিজ ব্রাঞ্চ প্রভাবিত: FortiMail 8.0.0–8.0.1 (আসন্ন 8.0.2 বা উপরে আপগ্রেড), 7.6.0–7.6.6 (আসন্ন 7.6.7 বা উপরে), 7.4.0–7.4.8 (আসন্ন 7.4.9 বা উপরে) এবং 7.2.0–7.2.9 (ব্রাঞ্চ 7.4 বা উপরে আপগ্রেড)। ২ অক্টোবর পর্যন্ত তিনটি নবতম ব্রাঞ্চের সংশোধন এখনও 'আসন্ন' হিসেবে চিহ্নিত, আর 7.2 ব্রাঞ্চের কোনো সংশোধিত রিলিজ পরিকল্পিত নেই। Fortinet জানায় যে ত্রুটিটি 'in the wild ব্যবহৃত হওয়ার রিপোর্ট এসেছে' এবং গ্রাহকদের বিকল্প ব্যবস্থা প্রয়োগের পরামর্শ দেয়: IBE (Internet Based Encryption) ফিচারটি GUI-তে (Encryption -> IBE -> IBE Service 'off') বা CLI-তে (config system encryption ibe / set status disable) বন্ধ করুন; অথবা FortiMail webmail ইন্টারফেসে ইন্টারনেট অ্যাক্সেস বন্ধ বা বিশ্বস্ত প্রাইভেট নেটওয়ার্কের মধ্যে সীমাবদ্ধ করুন, অথবা সামনে WAF থাকলে '../' থাকা /ibe POST অনুরোধ ব্লক করুন। Fortinet দুটি সোর্স IP এবং সিস্টম ও এনক্রিপশন লগের উদাহরণও IoC হিসেবে প্রকাশ করেছে, এবং আবিষ্কারটি Fortinet প্রোডাক্ট সিকিউরিটি টিমের Gwendal Guégniaud-এর অন্তর্গত বলে উল্লেখ করেছে (FG-IR-26-175)।
CISA ১ অক্টোবর ত্রুটিটি KEV ক্যাটালগে যুক্ত করে এবং ফেডারেল সিভিল সংস্থalarına ৪ অক্টোবর — আজ — পর্যন্ত প্রতিক্রিয়া করার সময়সীমা দিয়েছে (BOD 26-04, যুক্তির ৩ দিন পর)। KEV নোট উৎপাদকের নির্দেশ অনুযায়ী Minderung প্রয়োগের দাবি করে, BOD 26-04 এবং CISA ফরেনসিক ট্রিয়াজের চাহিদা অনুযায়ী; forensicTriage হ্যাঁ চিহ্নিত। Fortinet-এর IoC-এ IBE ডিকোডিং ব্যর্থতা থেকে এনক্রিপশন লগের এন্ট্রি রয়েছে, যা ইঙ্গিত করে ব্যবহারের পথটি IBE ইন্টারফেস দিয়ে যায়; Fortinet আক্রমণ ভেক্টরটিอย่างเป็นทางการ করে বর্ণনা করেনি, তাই এটি অনুমান, তথ্য নয় (অনুমান নিচে তথ্য থেকে আলাদা)। সাম্প্রতিক KEV যুক্তিতে ২০ সেপ্টেম্বর থেকে ২ অক্টোবরের মধ্যে ১৭টি এন্ট্রি: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), দুটি Check Point ম্যানেজমেন্ট-সার্ভার ত্রুটি (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce এবং Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), দুটি Citrix NetScaler ত্রুটি (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), এই FortiMail ত্রুটি (CVE-2026-104286) এবং দুটি Zammad ত্রুটি (CVE-2026-102490 / CVE-2026-102489) — অনেকগুলোই সীমানা ডিভাইসের ম্যানেজমেন্ট বা ফিচার ইন্টারফেস (CISA KEV ক্যাটালগ, 2026.10.02)।
বিশ্লেষণ (তথ্য থেকে আলাদা): যা মনোযোগের যোগ্য, তা হলো সনদ-চাহিদা-বিহীন ইন্টারফেসে সনদহীন অ্যাক্সেস সরাসরি root-স্তরের ফাইল লেখায় পৌঁছায়। এই পর্যবেক্ষণ ১৫ সেপ্টেম্বরে আলোচনা করা Cisco SEG zero-day (CVE-2026-76461) প্রায় একই রূপের: ইমেইল গেটওয়েতে সনদহীন অনুরোধ-প্রসেসিং SQL ইনজেকশনের মাধ্যমে root-চালনায় পৌঁছায়, এটিও in the wild ব্যবহৃত নিশ্চিত এবং পরবর্তীতে KEV-এ। ইমেইল-গেটওয়ে ভূমিকা শেয়ার করা দুটি ডিভাইসের zero-day তিন সপ্তাহের মধ্যে KEV-এ ঢুকলো, এবং উভয় ক্ষেত্রে লক্ষ্যই গেটওয়ের ফিচার ইন্টারফেস, ইমেইল-পথ নয়। IBE একটি ইমেইল-এনক্রিপশন ফিচার, যা অনেক ডিপ্লয়মেন্ট হয়তো সীমিত প্রেরকদের জন্যই চালু রেখেছে; যেখানে চালু, তার ইন্টারফেস পার্শ্ব-প্রভাব হিসেবে ইন্টারনেট থেকে পৌঁছানোযোগ্য থাকতে পারে। একটি ফিচার একটি সনদহীন প্রবেশ-বিন্দু ছাড়ে — এটাই গাঠনিক বিন্দু। Fortinet-এর দাবি যে ত্রুটিটি অন্তর্গতভাবে আবিষ্কৃত, তা F5 BIG-IP APM ত্রুটি (CVE-2026-94127)-এর সেই প্যাটার্নেরই অনুসরণ করে এবং প্রকাশের আগে নীরব ব্যবহার-খিল্লি ইঙ্গিত করতে পারে। 7.2 ব্রাঞ্চের কোনো সংশোধিত রিলিজ নেই, অর্থাৎ ৪ অক্টোবরের সময়সীমার আগে ওই সাইটগুলো কেবল 'প্যাচ' দিতে পারবে না: সিদ্ধান্ত ব্রাঞ্চ বদলানো বা ফিচার বন্ধ করা।
রক্ষামূলক তাৎপর্য: (1) IBE ব্যবহার না করলে, GUI বা CLI দিয়ে সেটি বন্ধ করাই প্রথম অগ্রাধিকার; ঠিক সেটাই 'উৎপাদক নির্দেশনা অনুযায়ী Minderung' যা CISA KEV নোট নির্দেশ করে। (2) IBE ব্যবহার করলে, WAF-এ '../' থাকা /ibe POST ব্লক করুন, অথবা webmail অ্যাক্সেস বিশ্বস্ত প্রাইভেট নেটওয়ার্কে সীমাবদ্ধ করুন; দুটোই সাময়িক এবং চূড়ান্ত রিলিজের সঙ্গে করতে হবে। (3) Fortinet-এর IoC অনুযায়ী (সিস্টম-লগে cron-শুরু করা /bin/sh -c এবং archive অ্যাকাউন্ট যোগ, এনক্রিপশন-লগে IBE ডিকোডিং-ব্যতিক্রম) সনাক্তাচলন করুন, এবং ডিভাইসের নিজের লগ এখনও প্রাথমিক উৎস নাও হতে পারে এমন ধারণা নিয়ে /ibe-এ যাওয়া ট্রাফিকের জন্য firewall/NetFlow ইতিহাস পরীক্ষা করুন। (4) 7.2 ব্রাঞ্চের সাইটের জন্য এখনই 7.4 বা উপরে মাইগ্রেশন পরিকল্পনা শুরু করুন; সংশোধিত রিলিজ না থাকলে সময়সীমার উত্তর হবে মাইগ্রেশন বা পৃথকীকরণ। (5) সীমানা-ডিভাইস ইনভেন্টরিতে IBE-এর মতো একক-ফিচার ইন্টারফেসের পাবলিক উন্মোচন আবার পরীক্ষা করুন। দুটি Citrix NetScaler এন্ট্রি (২৭ সেপ্টেম্বরে যুক্ত) এবং Cisco Catalyst SD-WAN Manager এন্ট্রি (৩০ সেপ্টেম্বরে যুক্ত) একই KEV-যুক্তি স্রোতের অংশ, একই তিন দিনের খিল্লি সহ। তথ্য Fortinet বিজ্ঞপ্তি FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), CISA KEV ক্যাটালগ (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) এবং NVD CVE রেকর্ড (https://nvd.nist.gov/vuln/detail/CVE-2026-104286)-এর উপর অবস্থিত। বিশ্লেষণ তথ্য থেকে আলাদা রাখা হয়েছে।