Nulis file tanpa autentikasi ngalihi pintu mburi gerbang surel — zero-day FortiMail CVE-2026-104286 lan fitur IBE
Tanggal 1 Oktober, Fortinet ngumumake zero-day path traversal ing FortiMail (CVE-2026-104286, CVSS 9.8) sing ngidini nulis file sing sembarang tanpa autentikasi, lan mbenakake yen eksploitasi wis kedadeyan ing donya. CISA mènèhaké menyang katalog KEV dina sing padha kanthi tenggat federal 4 Oktober. Ora ana rilis sing wis dibeneraké ing cabang sing kena pengaruh papat, mula mateni IBE dadi langkah sementara — kita ngertèkaké ing konteks lonjakan KEW pungkasan Sèptèmber.
Artikel iki dijarwakake dening mesin.
Tanggal 1 Oktober 2026, Fortinet ngumumaké CVE-2026-104286 ing FortiMail liwat advisori PSIRT FG-IR-26-175. Cacat iki nggabungaké pembatasan dhadha pathname marang direktori wates (path traversal, CWE-22) karo penetralan byte NULL sing kurang (CWE-158): pamain tanpa autentikasi bisa nulis file sing sembarang ing sistem dasar liwat request HTTP utawa HTTPS sing diowahi. Skor CVSS v3.1 saka NVD yaiku 9.8 (CRITICAL, dilaporaké déning PSIRT Fortinet minangka CNA). Papat cabang rilis kena pengaruh: FortiMail 8.0.0–8.0.1 (manggon menyang 8.0.2 sing bakal teka utawa luwih dhuwur), 7.6.0–7.6.6 (7.6.7 sing bakal teka utawa luwih dhuwur), 7.4.0–7.4.8 (7.4.9 sing bakal teka utawa luwih dhuwur), lan 7.2.0–7.2.9 (manggon menyang cabang 7.4 utawa luwih dhuwur). Ing 2 Oktober, perbaikan kanggo cabang telu sing anyar isih tandha minangka 'bakal teka', lan ora ana rilis sing dibeneraké sing direncanakaké kanggo cabang 7.2. Fortinet ngandharké yen bug 'dilaporaké digunakaké ing donya', lan nyaranaké para pelanggan supaya nerapaké langkah kerja: mateni fitur IBE (Internet Based Encryption) liwat GUI (Encryption -> IBE -> IBE Service 'off') utawa CLI (config system encryption ibe / set status disable); utawa mateni akses internet menyang antarmuka webmail FortiMail utawa mbatesi menyang jaringan privat sing dipercaya; utawa, yen WAF ana ing ngarep, blok request POST menyang /ibe sing ngemu '../'. Fortinet uga ngirimaké rong IP sumber lan contohné saka log sistem lan enkripsi minangka IoC, lan nyathet yen cacat iki ditemukan kanthi internal déning Gwendal Guégniaud saka tim Keamanan Produk Fortinet (FG-IR-26-175).
CISA nyithaké cacat menyang katalog KEV dhéwé tanggal 1 Oktober lan nyedhiyakaké wektu kanggo badan sipil federal nganti 4 Oktober — dina iki — kanggo ngadegaké (BOD 26-04, telung dina sawisé dicathet). Cathetan KEV ngarahaké operator kanggo nerapaké pambengkakan miturut instruksi vendor, miturut BOD 26-04 lan Kebutuhan Triase Forensik CISA; forensicTriage ditandhani 'ya'. IoC Fortinet ngemu entri saka log enkripsi sing asline saka kegagalan dekripsi IBE, sing nuduhaké yen jalur eksploitasi liwat antarmuka IBE; Fortinet ora njlentrehaké vector serangan kanthi resmi, mula ditrapaké minangka inferènsi, dudu fakta (inferènsi dipisah saka fakta ing ngisor). Tambahan KEV anyar nuduhaké 17 entri antara 20 Sèptèmber lan 2 Oktober: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), cacat telu server manajemen Check Point (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce lan Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), cacat telu Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), cacat FortiMail iki (CVE-2026-104286), lan cacat telu Zammad (CVE-2026-102490 / CVE-2026-102489) — akeh sing ana ing antarmuka manajemen utawa fitur ing piranti wates (katalog CISA KEV, 2026.10.02).
Analisis (dipisah saka fakta): sing kudu dikaton yaiku yen akses tanpa autentikasi menyang antarmuka sing ora mbutuhaké autentikasi langsung tekan tulis file tingkat root. Zero-day Cisco SEG sing dibahas observatori iki tanggal 15 Sèptèmber (CVE-2026-76461) wujudé meh padha: pangolahan request tanpa autentikasi ing gerbang surel tekan eksekusi tingkat root liwat injeksi SQL, lan mbenakaké eksploitasi ing donya sadurungé dicathet KEV. Papat zero-day ing piranti sing mbagé peran gerbang surel mlebu KEV ing wektu telung sasi, lan ing loro kasus targeté antarmuka fitur ing gerbang, dudu jalur surelané dhéwé. IBE fitur enkripsi surel sing akeh panggunaan bisa katêtonake mung kanggo kèwêgungan pangirim wates; ing ngendi katêton, antarmukaé bisa tetep bisa dituju saka internet minangka efek samping. Satunggaling fitur ninggalaké titik mlebu tanpa autentikasi — iku titik strukturalé. Cathetan Fortinet yen cacat iki ditemu kanthi internal ngandhèkaké pola sing padha karo cacat F5 BIG-IP APM (CVE-2026-94127), lan bisa nuduhaké jendhela eksploitasi sing ora kedenging sadurungé ngumumaké. Ora ana rilis sing dibeneraké kanggo cabang 7.2 tegesé lokasi iki ora bisa mung 'nambal' sadurungé tenggat 4 Oktober: katèmané yaiku ngganti cabang utawa mateni fitur.
Implikasi pertahanan: (1) Yen IBE ora digunakaké, mateni liwat GUI utawa CLI dadi prioritas pisanan; iku persis 'pembengkakan miturut instruksi vendor' sing dirujuk cathetan CISA KEV. (2) Yen IBE digunakaké, blok POST menyang /ibe sing ngemu '../' ing WAF, utawa mbatesi akses webmail menyang jaringan privat sing dipercaya; loro-lorone langkah sementara sing kudu dipasèkaké karo rilis pungkasan. (3) Jaga deteksi miturut IoC Fortinet (/bin/sh -c sing diluncuraké déning cron lan katambahan akun archive ing log sistem, pengecualian dekripsi IBE ing log enkripsi), lan saka prasarat yen log piranti dhéwé ora dadi sumber pisanan manèh, tinjau riwayat firewall / NetFlow kanggo laluan menyang /ibe. (4) Kanggo lokasi cabang 7.2, wiwiti rencana migrasi menyang 7.4 utawa luwih dhuwur saiki; tanpa rilis sing dibeneraké, wangsulan tenggat yaiku migrasi utawa isolasi. (5) Ing inventaris piranti wates, periksa manèh papanan umum antarmuka fitur siji kaya IBE. Loro entri Citrix NetScaler (dicathet tanggal 27 Sèptèmber) lan entri Cisco Catalyst SD-WAN Manager (dicathet tanggal 30 Sèptèmber) bagian saka serangkaian tambahan KEV sing padha, kanthi jendhela telung dina sing padha. Fakter ing kéné ngandhèk saka advisori Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), katalog CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), lan rékam CVE NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). Analisis ditahan dipisah saka laporan.