כתיבת קבצים ללא אימות דרך הדלת האחורית של שער הדוא״ל — אפס יום של FortiMail CVE-2026-104286 ותכונת IBE
ב־1 באוקטובר פירסמה Fortinet פלישת אפס יום של מסלול (path traversal) ב־FortiMail (CVE-2026-104286, CVSS 9.8) המאפשרת כתיבת קבצים שרירותיים ללא אימות, ואישרה ניצול בשטח. CISA הוסיפה אותה לקטלוג KEV באותו יום עם מועד אחרון פדרלי ב־4 באוקטובר. אין גרסה מתוקנת שפורסמה באף אחת מהענפים הארבעה המושפעים, ולכן הפסקת IBE היא פתרון ביניים — אנו בוחנים זאת בחדר גל המהומה של KEV בסוף ספטמבר.
מאמר זה תורגם במכונה.
ב־1 באוקטובר 2026 פירסמה Fortinet את CVE-2026-104286 ב־FortiMail דרך המועצה PSIRT FG-IR-26-175. הפגיעה שואבת בין מגבלה חסרת תוקף של שם המסלול לתוריות מגובלות (path traversal, CWE-22) לבין ניטרול חסר תוקף של בתיות NULL (CWE-158): מתקיף לא-מאוים יכול לכתוב קבצים שרירותיים על המערכת הבסיסית דרך בקשות HTTP או HTTPS מתוכננות. ציון CVSS v3.1 מ־NVD הוא 9.8 (קריטי, דווח על ידי PSIRT של Fortinet כגוף מרכזי CNA). ארבעת ענפי הרilis משופעים: FortiMail 8.0.0–8.0.1 (שדרוג ל־8.0.2 הקרובה או גבוהה יותר), 7.6.0–7.6.6 (7.6.7 הקרובה או גבוהה יותר), 7.4.0–7.4.8 (7.4.9 הקרובה או גבוהה יותר) ו־7.2.0–7.2.9 (שדרוג לענף 7.4 או גבוהה יותר). נכון ל־2 באוקטובר, תיקוני שלושת הענפים החדשים עדיין מסומנים כ״קרובים״, ואין גרסה מתוקנת מתוכננת בכלל לענף 7.2. Fortinet דווחה שהפגיעה 'דווחת כהינצלת בשטח', והחיפה לקוחות ליישם את הפתרון העקבי: לשבט תכונת IBE (הצפנת אינטרנט) דרך ממשק הממשל (Encryption -> IBE -> IBE Service 'off') או דרך שורת פקודה (config system encryption ibe / set status disable); או לשבט גישה מהאינטרנט לממשק webmail של FortiMail או להגבילה לרשתות פרטיות אמנותיות; או, כשיש WAF מלפנים, לחסום בקשות POST ל־/ibe המכילות '../'. Fortinet פרסמה גם שני כתובות IP מקור ודוגמאות מיומי המערכת וההצפנה כמדדי חדירה IoC, וציין שהפגיעה זו נגלתה על ידי Gwendal Guégniaud מטוך ביטחון המוצר של Fortinet (FG-IR-26-175).
CISA הוסיפה את הפגיעה לקטלוג KEV שלה ב־1 באוקטובר והשיקתה למוסדות האזרחיים הפדרליים עד 4 באוקטובר — היום — (BOD 26-04, שלושה ימים מהרשומה). פקודות KEV מצווות על הפעלת הפחתה לפי הוראות היצרן, בהתאם ל־BOD 26-04 ולדרישות הסינון הפורנסי של CISA; forensicTriage מסומן כ־'כן'. מדדי החדירה של Fortinet כוללים רשומות מיומיו ההצפנה שנוצרו מכשלי פענוח IBE, המרמזים שמסלול הניצול עובר דרך ממשק IBE; Fortinet לא תארה רשמית את וקטור התקיפה, ולכן יש להתייחס לזה כהנעה ולא כעובדה (ההנעה מופרדת מהעובדות להלן). הרשומות האחרונות של KEV מראות 17 רשומות בין 20 בספטמבר ל־2 באוקטובר: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), שתי פגיעות בשרתים ניהוליים של Check Point (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce ו־Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), שתי פגיעות של Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), פגיעת FortiMail זו (CVE-2026-104286) ושתי פגיעות של Zammad (CVE-2026-102490 / CVE-2026-102489) — רבות מהן ממשקים ניהוליים או תכונות בציוד גבול (קטלוג CISA KEV, 2026.10.02).
ניתוח (מופרד מהעובדות): מה שראוי לתשומת לב הוא שגישה לא-מוכרת לממשק שאינו דורש אימות מגיעה ישירות לכתיבת קובץ ברמת root. אפס היום של Cisco SEG שעליו בדק המארז זה ב־15 בספטמבר (CVE-2026-76461) הוא כמעט בצורה זהה: טיפול בבקשות לא-מוכרות בשער דוא״ל מגיע להרצאה ברמת root דרך הזרקת SQL, גם כאן ניצול בשטח מאושר ולאחר מכן הרשמה ב־KEV. אפסי יום בשני ציודים שחולקים את תפקיד שער הדוא״ל נכנסו ל־KEV תוך שלושה שבועות, ובשני המקרים היעד הוא ממשק תכונה בשער, לא מסלול הדוא״ל עצמו. IBE היא תכונת הצפנת דוא״ל שהרבה פריסות אולי הפעילו אותה רק לקבוצת שולחים צרה; בכל מקום שהיא מופעלת, ממשקה עשוי להישאר נגיש מהאינטרנט כתופעת לוואי. תכונה אחת משאירה נקודת כניסה לא-מוכרת — זוהי הנקודה המבנית. הערה של Fortinet שהפגיעה זו נגלתה פנימית עוקבת את הדוגמה האותה של פגיעת F5 BIG-IP APM (CVE-2026-94127), ועשויה להרמין על חלון ניצול שקט לפני החשיפה. היעדר גרסה מתוקנת לענף 7.2 פירושו שהאתרים הללו לא יכולים פשוט 'לתקן' לפני מועד האחרון ב־4 באוקטובר: ההחלטה היא החלפת ענף או כיבוי תכונה.
השלכות הגנה: (1) אם IBE אינו בשימוש, כיבוי דרך ממשק הממשל או שורת פקודה הוא העדיפות הראשונה; זהו בדיוק 'הפחתה לפי הוראות היצרן' שאלה פקודות CISA KEV מצביעות. (2) אם IBE בשימוש, יש לחסום POST ל־/ibe המכיל '../' ב־WAF, או להגביל גישה ל־webmail לרשתות פרטיות אמנותיות; שניהם פתרונות ביניים שיש להתאכל אותם עם הגרסה הסופית. (3) להפעיל זיהוי לפי מדדי החדירה של Fortinet (הרצאת /bin/sh -c שנקראה דרך cron והוספת חשבונות archive ביומי המערכת, חריגת פענוח IBE ביומיו ההצפנה), ועל ההנחה שיומי הציוד עצמו אולי אינם מקור ראשוני עוד, לבדוק היסטוריית firewall / NetFlow לתעבורה המגעת ל־/ibe. (4) לאתרים בענף 7.2, יש להתחיל כעת תכנון עבר ל־7.4 או גבוהה יותר; בלי גרסה מתוקנת, תשובת המועד האחרון היא עבר או בידוד. (5) במלאי ציוד הגבול, יש לבדוק שוב את החשיפה הציבורית של ממשקי תכונה בודדים כמו IBE. שתי רשומות Citrix NetScaler (הרשמו ב־27 בספטמבר) ורשומת Cisco Catalyst SD-WAN Manager (הרשמה ב־30 בספטמבר) הן חלק מאותו שיא של הרשומות KEV, באותו חלון של שלושה ימים. העובדות כאן מסתיימות במועצה של Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), קטלוג CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) ורשומת ה־CVE של NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). הניתוח נשמר מופרד מהדיווח.