मेल गेटवे की पश्च-द्वार से प्रमाणीकरण-रहित फ़ाइल लेखन — FortiMail zero-day CVE-2026-104286 और IBE सुविधा
Fortinet ने 1 अक्टूबर को FortiMail में path traversal zero-day (CVE-2026-104286, CVSS 9.8) प्रकाशित किया जो प्रमाणीकरण-रहित अनिवश्चिन्त फ़ाइल-लेखन की अनुमति देता है, और वास्तविक शोषण की पुष्टि की। CISA ने उसी दिन इसे KEV कैटलोग में जोड़ा, संघीय अंत-तिथि 4 अक्टूबर है। प्रभावित चारों रिलीज़ शाखाओं में कोई ठोस पुर्जा जारी नहीं, इसलिए IBE अक्षम करना अस्थायी उपाय है — हम उसे सितंबर अंत के KEV वृद्धि के साथ देखते हैं।
यह लेख मशीन से अनुवादित किया गया था।
1 अक्टूबर 2026 को Fortinet ने PSIRT सलाहनामा FG-IR-26-175 के माध्यम से FortiMail में CVE-2026-104286 प्रकाशित किया। दोष निश्चित निर्देशिका में पथ की अनुचित सीमा (path traversal, CWE-22) और NULL बाइट के अनुच्य निरपेक्षीकरण (CWE-158) का संयोजन है: एक अप्रमाणीकृत हमलावर बनी हुई HTTP/HTTPS अनुरोधों के माध्यम से निचले सिस्टम पर किसी भी फ़ाइल को लिख सकता है। NVD का CVSS v3.1 स्कोर 9.8 (CRITICAL, Fortinet PSIRT द्वारा CNA के रूप में रिपोर्ट किया) है। चार रिलीज़ शाखाएँ प्रभावित हैं: FortiMail 8.0.0–8.0.1 (आगामी 8.0.2 या ऊपर पर अपग्रेड), 7.6.0–7.6.6 (आगामी 7.6.7 या ऊपर), 7.4.0–7.4.8 (आगामी 7.4.9 या ऊपर) और 7.2.0–7.2.9 (शाखा 7.4 या ऊपर पर अपग्रेड)। 2 अक्टूबर तक तीन नवीनतम शाखाओं के सटीक संस्करण अभी 'आगामी' चिह्नित हैं और 7.2 शाखा के लिए कोई सटीक संस्करण नियोजित नहीं है। Fortinet का कहना है कि दोष 'the wild में शोषित होने की रिपोर्ट मिली है' और ग्राहकों को वैकल्पिक उपाय लागू करने की सलाह देता है: IBE (Internet Based Encryption) सुविधा को GUI (Encryption -> IBE -> IBE Service 'off') या CLI (config system encryption ibe / set status disable) से अक्षम करें; या FortiMail वेबमेल इंटरफ़ेस तक इंटरनेट पहुँच अक्षम करें या विश्वसनीय निजी नेटवर्क तक सीमित करें, या यदि सामने WAF हो तो '../' वाले /ibe POST अनुरोधों को ब्लॉक करें। Fortinet ने दो स्रोत IP और सिस्टम घटना-लेखनक तथा एन्क्रिप्शन-लेखनक के उदाहरण भी IoC के रूप में प्रकाशित किए, और खुलासे को Fortinet प्रोडक्ट सुरक्षा टीम के Gwendal Guégniaud द्वारा आंतरिक रूप से किया बताया (FG-IR-26-175)।
CISA ने 1 अक्टूबर को इस संवेदनशीलता को अपने KEV कैटलोग में जोड़ा और संघीय नागरिक एजेंसियों को 4 अक्टूबर — आज — तक प्रतिक्रिया देने की अंत-तिथि दी (BOD 26-04, समावेश के बाद 3 दिन)। KEV नोट निर्माता-दिशा-सूचित उपशमन को BOD 26-04 और CISA फ़ोरेंसिक ट्रायजरी आवश्यकताओं के अनुरूप लागू करने का आग्रह करते हैं; forensicTriage हाँ चिह्नित है। Fortinet के IoC में IBE डिकोडिंग विफलताओं के एन्क्रिप्शन-लेखनक प्रविष्टियाँ शामिल हैं, जो संकेत देती है कि शोषण पथ IBE इंटरफ़ेस से होकर गुज़रता है; Fortinet ने हमला सदिश आधिकारिक रूप से वर्णित नहीं किया, अतः यह अनुमान है, तथ्य नहीं (अनुमान तथ्य से नीचे अलग है)। हाल की KEV जोड़ों में 20 सितंबर से 2 अक्टूबर तक 17 प्रविष्टियाँ दिखाई देती हैं: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), दो Check Point प्रबंधन-सर्वर दोष (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce और Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), दो Citrix NetScaler दोष (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), यह FortiMail दोष (CVE-2026-104286) और दो Zammad दोष (CVE-2026-102490 / CVE-2026-102489) — जिनमें से कई सीमा युक्तियों पर प्रबंधन या सुविधा इंटरफ़ेस हैं (CISA KEV कैटलोग, 2026.10.02)।
विश्लेषण (तथ्य से अलग): ध्यान देने योग्य बात यह है कि प्रमाणीकरण-मांग-रहित इंटरफ़ेस तक प्रमाणीकरण-रहित पहुँच सीधे root स्तर के फ़ाइल लेखन पर समाप्त होती है। इस प्रेक्षणागार के 15 सितंबर को छापे वाले Cisco SEG zero-day (CVE-2026-76461) लगभग उसी रूप का है: मेल गेटवे में प्रमाणीकरण-रहित अनुरोध-संसाधन SQL निवेश के रास्ते root निष्पादन तक पहुँचता है, इसका वास्तविक शोषण भी पुष्टि किया गया और बाद में KEV में प्रवेश। मेल-गेटवे भूमिका साझा करने वाली दो युक्तियों के zero-day तीन सप्ताह में KEV में आए, और दोनों में लक्ष्य गेटवे का मेल-पथ नहीं, बल्कि उसका एक सुविधा-इंटरफ़ेस है। IBE एक मेल एन्क्रिप्शन सुविधा है जिसे कई प्रसारणों ने सीमित प्रेषकों के लिए ही सक्रिय किया हो सकता है; जहाँ सक्रिय है, उसका इंटरफ़ेस पार्स-प्रभाव के रूप में इंटरनेट से पहुँचने योग्य रह सकता है। एक एकल सुविधा प्रमाणीकरण-रहित प्रवेश-बिंदु छोड़ती है — यह संरचनात्मक बिंदु है। Fortinet का कि दोष आंतरिक रूप से खोजा गया, यह नोट F5 BIG-IP APM दोष (CVE-2026-94127) के उसी पैटर्न का है और खुलासे से पहले चुपचाप शोषण-खिड़की संकेत दे सकता है। 7.2 शाखा के लिए कोई ठोस रिलीज़ न होने का अर्थ है कि 4 अक्टूबर अंत-तिथि से पहले वे साइटें बस 'पैच' नहीं लगा सकतीं: निर्णय शाखा बदलना या सुविधा बंद करना है।
रक्षा-पक्ष निहितार्थ: (1) यदि IBE उपयोग में नहीं है, तो GUI या CLI से इसे अक्षम करना सर्वोच्च प्राथमिकता है; यही वही है जो CISA KEV नोट 'निर्माता निर्देशानुसार उपशमन' से बुलाते हैं। (2) यदि IBE उपयोग में है, तो WAF पर '../' वाले /ibe POST को ब्लॉक करें, या वेबमेल पहुँच को विश्वसनीय निजी नेटवर्क तक सीमित करें; दोनों अस्थायी हैं और अंतिम रिलीज़ के साथ चलाने चाहिए। (3) Fortinet के IoC (सिस्टम-लेखनक में cron-प्रारंभित /bin/sh -c और archive खातों जोड़ना, एन्क्रिप्शन-लेखनक में IBE डिकोडिंग-व्यावस्था) के अनुसार निगरानी चलाएँ, और युक्ति के अपने लेखनक अब प्राथमिक स्रोत न रह सकने की धारणा से /ibe की ओर ट्रैफिक के लिए फ़ायरवॉल / NetFlow इतिहास देखें। (4) 7.2 शाखा की साइटों के लिए अब से 7.4 या ऊपर की स्थानांतरण योजना शुरू करें; ठोस रिलीज़ न होने पर अंत-तिथि-प्रतिक्रिया स्थानांतरण या पृथक्करण है। (5) सीमा-युक्ति सूची में IBE जैसे एकल-सुविधा इंटरफ़ेस के सार्वजनिक प्रकटीकरण की पुनः जाँच करें। Citrix NetScaler की दो प्रविष्टियाँ (27 सितंबर को जोड़ी गईं) और Cisco Catalyst SD-WAN Manager प्रविष्टि (30 सितंबर को जोड़ी गई) उसी KEV जोड़-शृंखला का हिस्सा हैं, उसी तीन-दिन की खिड़की के साथ। तथ्य Fortinet सलाहनामा FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), CISA KEV कैटलोग (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) और NVD CVE रिकॉर्ड (https://nvd.nist.gov/vuln/detail/CVE-2026-104286) पर आधारित हैं। विश्लेषण को तथ्य से अलग रखा गया है।