Escritura de archivos sin autenticación por la puerta trasera de una pasarela de correo — día cero de FortiMail CVE-2026-104286 y la función IBE
Fortinet reveló el 1 de octubre un día cero de recorrido de ruta en FortiMail (CVE-2026-104286, CVSS 9.8) que permite escribir archivos arbitrarios sin autenticación, y confirmó su explotación en el mundo real. CISA lo añadió al catálogo KEV ese mismo día con fecha límite federal del 4 de octubre. Ninguna de las cuatro ramas afectadas tiene una versión corregida publicada, así que la desactivación de IBE es la medida provisional — lo examinamos junto al aumento de KEV de finales de septiembre.
Este artículo fue traducido por máquina.
El 1 de octubre de 2026, Fortinet reveló CVE-2026-104286 en FortiMail mediante el aviso PSIRT FG-IR-26-175. El defecto combina una restricción inadecuada de la ruta a un directorio determinado (path traversal, CWE-22) con una neutralización inadecuada de bytes NULL (CWE-158): un atacante sin autenticar puede escribir archivos arbitrarios en el sistema subyacente mediante peticiones HTTP o HTTPS elaboradas. La puntuación CVSS v3.1 de la NVD es 9.8 (CRÍTICA, informada por Fortinet PSIRT como CNA). Cuatro ramas de versiones están afectadas: FortiMail 8.0.0–8.0.1 (actualizar a la inminente 8.0.2 o superior), 7.6.0–7.6.6 (inminente 7.6.7 o superior), 7.4.0–7.4.8 (inminente 7.4.9 o superior) y 7.2.0–7.2.9 (actualizar a la rama 7.4 o superior). A fecha 2 de octubre, los arreglos de las tres ramas más recientes siguen marcados como 'inminentes' y para la rama 7.2 no hay ninguna versión corregida prevista. Fortinet indica que la vulnerabilidad 'se ha reportado como explotada en el mundo real' y urge a los clientes a aplicar la medida alternativa: desactivar la función IBE (Internet Based Encryption) mediante la GUI (Encryption -> IBE -> IBE Service 'off') o la CLI (config system encryption ibe / set status disable); alternativamente, desactivar el acceso a internet a la interfaz webmail de FortiMail o limitarlo a redes privadas de confianza, o, con un WAF delante, bloquear las peticiones POST a /ibe que contengan '../'. Fortinet publicó además dos IPs de origen y ejemplos de registros de sistema y de cifrado como IoC, y atribuyó el hallazgo a Gwendal Guégniaud, del equipo de Seguridad de Producto de Fortinet (FG-IR-26-175).
CISA añadió la vulnerabilidad a su catálogo KEV el 1 de octubre y dio a las agencias civiles federales hasta el 4 de octubre — hoy — para responder (BOD 26-04, tres días desde la inclusión). Las notas de KEV exigen aplicar la mitigación indicada por el fabricante conforme a BOD 26-04 y a los Requisitos de Triage Forense de CISA, y forensicTriage está marcado como Sí. Los IoC de Fortinet incluyen entradas del registro de cifrado por fallos de descifrado IBE, lo que sugiere que la vía de explotación recorre la interfaz IBE; Fortinet no ha descrito formalmente el vector de ataque, así que debe tratarse como inferencia y no como hecho (la inferencia se separa de los hechos abajo). Las incorporaciones recientes a KEV muestran 17 entradas entre el 20 de septiembre y el 2 de octubre: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), dos fallos de servidores de gestión de Check Point (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce y Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), dos fallos de Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), este fallo de FortiMail (CVE-2026-104286) y dos fallos de Zammad (CVE-2026-102490 / CVE-2026-102489) — muchos de ellos interfaces de gestión o de función en dispositivos de frontera (catálogo KEV de CISA, 2026.10.02).
Análisis (separado de los hechos): lo que merece atención es que el acceso sin autenticar a una interfaz que no exige autenticación termina directamente en una escritura de archivo a nivel root. El día cero de Cisco SEG que este observatorio trató el 15 de septiembre (CVE-2026-76461) tiene prácticamente la misma forma: un tratamiento de peticiones sin autenticar en una pasarela de correo que alcanza la ejecución con root mediante inyección SQL, igualmente con explotación en el mundo real confirmada y su posterior incorporación a KEV. Dos días cero en dispositivos que comparten el papel de pasarela de correo entraron en KEV en menos de tres semanas, y el blanco en ambos casos es una interfaz de función de la pasarela, no la vía del correo mismo. IBE es una función de cifrado de correo que muchos despliegues habrán activado solo para un grupo reducido de remitentes; donde está activada, su interfaz puede seguir siendo alcanzable desde internet como efecto secundario. Una sola función deja una entrada sin autenticar — ese es el punto estructural. La nota de Fortinet de que el defecto fue hallado internamente sigue el mismo patrón que el fallo de F5 BIG-IP APM (CVE-2026-94127) y puede sugerir un tramo de explotación en silencio antes de la divulgación. La ausencia de cualquier versión corregida para la rama 7.2 significa que esos sitios no pueden simplemente 'aplicar el parche' antes del límite del 4 de octubre: la decisión es migrar de rama o cerrar la función.
Implicaciones para la defensa: (1) Si IBE no está en uso, desactivarla por GUI o CLI es la prioridad máxima; es exactamente la 'mitigación conforme a las instrucciones del fabricante' a la que apuntan las notas KEV de CISA. (2) Si IBE está en uso, bloquee en el WAF los POST a /ibe que contengan '../' o limite el acceso a webmail a redes privadas de confianza; ambas son provisionales y deben acompañar a la versión final. (3) Ejecute la detección contra los IoC de Fortinet (la ejecución /bin/sh -c lanzada por cron y la adición de cuentas archive en los registros de sistema, la excepción de descifrado IBE en el registro de cifrado) y, partiendo de la premisa de que los propios registros del dispositivo pueden ya no ser la fuente primaria, revise el historial de firewall / NetFlow del tráfico hacia /ibe. (4) Para los sitios de la rama 7.2, inicie ahora el plan de migración a 7.4 o superior; sin versión corregida, la respuesta al límite es migrar o aislar. (5) En el inventario de dispositivos de frontera, revise la exposición pública de interfaces de función única como IBE. Las dos entradas de Citrix NetScaler (incorporadas el 27 de septiembre) y la de Cisco Catalyst SD-WAN Manager (incorporada el 30 de septiembre) forman parte de la misma oleada de incorporaciones a KEV, con la misma ventana de tres días. Los hechos se basan en el aviso de Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), el catálogo KEV de CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) y el registro CVE de la NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). El análisis se mantiene separado de la información factual.