Écriture de fichiers non authentifiée par l'arrière-porte d'une passerelle de messagerie — jour zéro FortiMail CVE-2026-104286 et fonction IBE
Fortinet a divulgué le 1er octobre un jour zéro de parcours de répertoire (path traversal) dans FortiMail (CVE-2026-104286, CVSS 9.8) permettant l'écriture de fichiers arbitraires non authentifiée, et confirmé son exploitation dans la nature. CISA l'a ajouté au catalogue KEV le même jour, avec un délai fédéral au 4 octobre. Aucune des quatre branches touchées n'a de version corrigée publiée ; la désactivation de IBE est la mesure provisoire — nous l'examinons au regard de la hausse de KEV de fin septembre.
Cet article a été traduit par une machine.
Le 1er octobre 2026, Fortinet a divulgué CVE-2026-104286 dans FortiMail via l'avertissement PSIRT FG-IR-26-175. Le défaut combine une limitation inadéquate d'un nom de chemin à un répertoire restreint (path traversal, CWE-22) et une neutralisation inadéquate des octets NULL (CWE-158) : un attaquant non authentifié peut écrire des fichiers arbitraires sur le système sous-jacent via des requêtes HTTP ou HTTPS élaborées. La note CVSS v3.1 de la NVD est de 9.8 (CRITIQUE, déclarée par Fortinet PSIRT en tant que CNA). Quatre branches de versions sont concernées : FortiMail 8.0.0–8.0.1 (passage à 8.0.2 ou supérieur, à paraître), 7.6.0–7.6.6 (7.6.7 ou supérieur, à paraître), 7.4.0–7.4.8 (7.4.9 ou supérieur, à paraître) et 7.2.0–7.2.9 (passage à la branche 7.4 ou supérieur). Au 2 octobre, les correctifs des trois branches les plus récentes restent marqués « à paraître » et la branche 7.2 n'a pas de version corrigée planifiée. Fortinet indique que la vulnérabilité « a fait l'objet de signalement d'exploitation dans la nature » et presse les clients d'appliquer le contournement : désactiver la fonction IBE (Internet Based Encryption) via l'interface graphique (Encryption -> IBE -> IBE Service 'off') ou la CLI (config system encryption ibe / set status disable) ; à défaut, désactiver l'accès internet à l'interface webmail de FortiMail ou le limiter au réseau privé de confiance, ou, s'il existe un pare-feu applicatif devant, bloquer les requêtes POST vers /ibe contenant « ../ ». Fortinet a également publié deux adresses IP source et des extraits de journaux système et de chiffrement à titre d'IoC, et attribue la découverte à Gwendal Guégniaud, de l'équipe Sécurité du produit de Fortinet (FG-IR-26-175).
CISA a ajouté la vulnérabilité à son catalogue KEV le 1er octobre, fixant aux agences fédérales civiles un délai jusqu'au 4 octobre — aujourd'hui — (BOD 26-04, trois jours après l'inscription). Les notes KEV exigent l'application des mitigations prescrites par le fabricant conformément à BOD 26-04 et aux exigences CISA de triage forensique, et forensicTriage est marqué Oui. Les IoC de Fortinet incluent des entrées du journal de chiffrement issues d'échecs de déchiffrement IBE, ce qui suggère que le chemin d'exploitation passe par l'interface IBE ; Fortinet n'a pas formellement décrit le vecteur d'attaque, il faut donc le traiter comme une inférence et non comme un fait (l'inférence est séparée des faits ci-dessous). Les ajouts récents au KEV comptent 17 entrées entre le 20 septembre et le 2 octobre : Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), deux failles de serveurs de gestion Check Point (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce et Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), deux failles Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), cette faille FortiMail (CVE-2026-104286) et deux failles Zammad (CVE-2026-102490 / CVE-2026-102489) — beaucoup d'entre elles sont des interfaces de gestion ou de fonction sur des équipements de frontière (catalogue KEV de CISA, 2026.10.02).
Analyse (séparée des faits) : ce qui mérite attention, c'est que l'accès non authentifié à une interface qui n'exige pas d'authentification aboutit directement à une écriture de fichier au niveau root. Le jour zéro de Cisco SEG dont ce laboratoire a traité le 15 septembre (CVE-2026-76461) présente presque la même forme : un traitement de requêtes non authentifiées dans une passerelle de messagerie qui atteint l'exécution root par injection SQL, avec également une exploitation dans la nature confirmée puis une entrée au KEV. Deux jours zéro sur des équipements partageant le rôle de passerelle de messagerie sont entrés au KEV en moins de trois semaines, et la cible dans les deux cas est une interface de fonction de la passerelle, non le chemin de messagerie lui-même. IBE est une fonction de chiffrement du courriel que beaucoup de déploiements n'auront activée que pour un groupe restreint d'expéditeurs ; là où elle est active, son interface peut rester joignable depuis internet comme effet de bord. Une fonction unique laisse une entrée non authentifiée — c'est le point structurel. La note de Fortinet selon laquelle le défaut a été découvert en interne suit le même schéma que la faille F5 BIG-IP APM (CVE-2026-94127) et peut suggérer une fenêtre d'exploitation silencieuse avant la divulgation. L'absence de toute version corrigée pour la branche 7.2 signifie que ces sites ne peuvent pas simplement « appliquer le correctif » avant l'échéance du 4 octobre : la décision est de migrer de branche ou de désactiver la fonction.
Implications défensives : (1) Si IBE n'est pas utilisée, sa désactivation via l'interface graphique ou la CLI est la priorité n°1 ; c'est exactement la « mitigation conformément aux instructions du fabricant » visée par les notes KEV de CISA. (2) Si IBE est utilisée, bloquez au pare-feu applicatif les POST vers /ibe contenant « ../ », ou limitez l'accès webmail au réseau privé de confiance ; ce sont des mesures provisoires à associer à la version finale. (3) Exécutez la détection sur les IoC de Fortinet (l'exécution /bin/sh -c lancée par cron et l'ajout de comptes archive dans les journaux système, l'exception de déchiffrement IBE dans le journal de chiffrement) tout en reprenant l'historique pare-feu / NetFlow du trafic vers /ibe, en partant du principe que les journaux propres de l'équipement peuvent ne plus être la source première. (4) Pour les sites de la branche 7.2, lancez dès maintenant le plan de migration vers 7.4 ou supérieur ; sans version corrigée, la réponse à l'échéance est la migration ou l'isolement. (5) Dans l'inventaire des équipements de frontière, re-vérifiez l'exposition publique des interfaces de fonction unique comme IBE. Les deux entrées Citrix NetScaler (inscrites le 27 septembre) et l'entrée Cisco Catalyst SD-WAN Manager (inscrite le 30 septembre) font partie de la même vague d'ajouts au KEV, avec la même fenêtre de trois jours. Les faits s'appuient sur l'avertissement Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), le catalogue KEV de CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) et l'enregistrement CVE de la NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). L'analyse est tenue séparée du fait.