Scrittura di file non autenticati attraverso la porta posteriore del gateway di posta — lo zero-day FortiMail CVE-2026-104286 e la funzione IBE
Il 1° ottobre Fortinet ha annunciato uno zero-day di path traversal in FortiMail (CVE-2026-104286, CVSS 9.8) che consente la scrittura di file arbitrari non autenticati, confermando lo sfruttamento in ambienti reali. CISA lo ha aggiunto al catalogo KEV lo stesso giorno, con scadenza federale al 4 ottobre. Non esiste una release corretta pubblicata su nessuno dei quattro rami colpiti, quindi la disattivazione di IBE è una soluzione temporanea — la analizziamo nel contesto del picco KEV di fine settembre.
Questo articolo è stato tradotto automaticamente.
Il 1° ottobre 2026, Fortinet ha annunciato la CVE-2026-104286 in FortiMail tramite l'avviso PSIRT FG-IR-26-175. Il difetto combina una limitazione insufficiente del nome di percorso verso directory limitate (path traversal, CWE-22) con una neutralizzazione inadeguata dei byte NULL (CWE-158): un attaccante non autenticato può scrivere file arbitrari sul sistema sottostante tramite richieste HTTP o HTTPS appositamente costruite. Il punteggio CVSS v3.1 di NVD è 9.8 (CRITICO, segnalato da Fortinet PSIRT come CNA). Quattro rami di rilascio sono colpiti: FortiMail 8.0.0–8.0.1 (aggiornamento alla 8.0.2 in arrivo o superiore), 7.6.0–7.6.6 (7.6.7 in arrivo o superiore), 7.4.0–7.4.8 (7.4.9 in arrivo o superiore) e 7.2.0–7.2.9 (aggiornamento al ramo 7.4 o superiore). Al 2 ottobre, le correzioni per i tre rami più recenti sono ancora marcate come «in arrivo» e non esiste una release corretta pianificata per il ramo 7.2. Fortinet ha dichiarato che il bug è «segnalato come sfruttato in ambienti reali» e ha esortato i clienti ad applicare la contromisura: disattivare la funzione IBE (Internet Based Encryption) tramite GUI (Encryption -> IBE -> IBE Service 'off') o CLI (config system encryption ibe / set status disable); oppure disattivare l'accesso da Internet all'interfaccia webmail di FortiMail o limitarla a reti private fidate; oppure, se è presente un WAF davanti, bloccare le richieste POST verso /ibe contenenti '../'. Fortinet ha pubblicato anche due indirizzi IP di origine ed esempi dai log di sistema e di crittografia come IoC, e ha annotato che il difetto è stato scoperto internamente da Gwendal Guégniaud del team di sicurezza dei prodotti Fortinet (FG-IR-26-175).
CISA ha aggiunto la vulnerabilità al proprio catalogo KEV il 1° ottobre, assegnando alle agenzie federali civili fino al 4 ottobre — oggi — per rispondere (BOD 26-04, tre giorni dopo l'iscrizione). Le note KEV prescrivono l'applicazione della mitigazione secondo le istruzioni del produttore, in linea con BOD 26-04 e i requisiti CISA di triage forense; forensicTriage è marcato «sì». Gli IoC di Fortinet includono voci dal log di crittografia derivate da fallimenti di decodifica IBE, che suggeriscono che il percorso di sfruttamento attraversi l'interfaccia IBE; Fortinet non ha descritto ufficialmente il vettore d'attacco, quindi va trattato come inferenza, non come fatto (l'inferenza è separata dai fatti qui sotto). Le recenti iscrizioni KEV mostrano 17 voci tra il 20 settembre e il 2 ottobre: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), due difetti dei server di gestione Check Point (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce e Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), due difetti Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), questo difetto FortiMail (CVE-2026-104286) e due difetti Zammad (CVE-2026-102490 / CVE-2026-102489) — molti di essi interfacce di gestione o funzionalità su appliance di confine (catalogo CISA KEV, 2026.10.02).
Analisi (separata dai fatti): ciò che merita attenzione è che l'accesso non autenticato a un'interfaccia che non richiede autenticazione arrivi direttamente alla scrittura di file a livello root. Lo zero-day Cisco SEG esaminato da questo osservatorio il 15 settembre (CVE-2026-76461) è quasi la stessa forma: la gestione di richieste non autenticate nel gateway di posta arriva all'esecuzione a livello root tramite iniezione SQL, con sfruttamento in ambienti reali confermato prima dell'iscrizione KEV. Due zero-day su appliance che condividono il ruolo di gateway di posta sono entrati in KEV entro tre settimane e, in entrambi i casi, il bersaglio è l'interfaccia di una funzionalità sul gateway, non il percorso di posta in sé. IBE è una funzionalità di crittografia della posta che molte implementazioni hanno forse attivato solo per un ristretto gruppo di mittenti; dove è attiva, la sua interfaccia può restare raggiungibile da Internet come effetto collaterale. Una sola funzionalità lascia un punto d'ingresso non autenticato — questo è il punto strutturale. La nota di Fortinet secondo cui il difetto è stato scoperto internamente segue lo stesso schema del difetto F5 BIG-IP APM (CVE-2026-94127) e può suggerire una finestra di sfruttamento silenziosa prima della divulgazione. L'assenza di una release corretta per il ramo 7.2 significa che quei siti non possono semplicemente «applicare la patch» prima della scadenza del 4 ottobre: la decisione è cambiare ramo o disattivare la funzionalità.
Implicazioni difensive: (1) se IBE non è in uso, disattivarlo via GUI o CLI è la priorità assoluta; è esattamente la «mitigazione secondo le istruzioni del produttore» a cui le note CISA KEV fanno riferimento. (2) se IBE è in uso, bloccare via WAF i POST verso /ibe contenenti '../', oppure limitare l'accesso a webmail a reti private fidate; entrambi sono rimedi provvisori da abbinare alla release finale. (3) eseguire il rilevamento secondo gli IoC di Fortinet (esecuzione di /bin/sh -c avviata da cron e aggiunta di account archive nei log di sistema, eccezione di decodifica IBE nel log di crittografia) e, sulla premessa che i log dell'appliance stessa non siano più la fonte primaria, rivedere la cronologia firewall / NetFlow per il traffico in transito a /ibe. (4) per i siti sul ramo 7.2, iniziare subito la pianificazione della migrazione a 7.4 o superiore; senza release corretta, la risposta alla scadenza è migrazione o isolamento. (5) nell'inventario delle appliance di confine, rivedere l'esposizione pubblica di interfacce di funzionalità singola come IBE. Le due iscrizioni Citrix NetScaler (iscritte il 27 settembre) e l'iscrizione Cisco Catalyst SD-WAN Manager (iscrizione il 30 settembre) fanno parte della stessa serie di iscrizioni KEV, con la stessa finestra di tre giorni. I fatti qui si basano sull'avviso Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), sul catalogo CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) e sul record CVE di NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). L'analisi resta separata dalla copertura stampa.