मेल गेटवेच्या मागीलदारातून सत्यापनशिवाय फाईल लिहिणे — FortiMail zero-day CVE-2026-104286 आणि IBE सुविधा
Fortinet ने 1 ऑक्टोबर रोजी FortiMail मधील path traversal zero-day (CVE-2026-104286, CVSS 9.8) जाहीर केला, जो सत्यापनशिवाय произ्विल फाईल-लेखनाची परवानगी देतो, आणि वास्तविक वापराची पुरेवाणी केली. CISA ने त्याच दिवसी KEV सूचीत जोडले; संघीय कालावधी 4 ऑक्टोबर आहे. चारही प्रभावित रिलीज शाखांमध्ये दुरुस्त आवृत्ती प्रकाशित झालेली नाही, म्हणून IBE बंद करणे हा काळजीवरील उपाय आहे — आम्ही त्याचा सप्टेंबरच्या शेवटच्या KEV वाढीशी संबंधाने पाहत आहोत.
हा लेख मशीनने अनुवादित केला आहे.
1 ऑक्टोबर 2026 रोजी Fortinet ने PSIRT सूचना FG-IR-26-175 मार्फत FortiMail मधील CVE-2026-104286 जाहीर केले. ही दोषता मर्यादित दिग्दर्शकापर्यंत पथाची अपुरी मर्यादा (path traversal, CWE-22) आणि NULL बाइट्सच्या अपुरी निरपेक्षीकरणाची (CWE-158) संयोजन आहे: असत्यापित हल्लावाला बनवलेल्या HTTP/HTTPS विनंतींद्वारे मूळ प्रणालीवर произ्विल फाईल्स लिहू शकतो. NVD चा CVSS v3.1 गुण 9.8 आहे (CRITICAL, Fortinet PSIRT ने CNA म्हणून अहवाल केला). चार रिलीज शाखा प्रभावित आहेत: FortiMail 8.0.0–8.0.1 (आगामी 8.0.2 किंवा अधिक वर अपग्रेड), 7.6.0–7.6.6 (आगामी 7.6.7 किंवा अधिक), 7.4.0–7.4.8 (आगामी 7.4.9 किंवा अधिक) आणि 7.2.0–7.2.9 (शाखा 7.4 किंवा अधिक वर अपग्रेड). 2 ऑक्टोबरपर्यंत, तीन नवीन शाखांच्या दुरुस्त्या आताही 'आगामी' म्हणून चिन्हांकित आहेत आणि 7.2 शाखेसाठी कोणतीही दुरुस्त आवृत्ती नियोजित नाही. Fortinet म्हणतो की दोषता 'the wild मध्ये वापरली गेलेल्याची माहिती आली आहे' आणि ग्राहकांना पर्यायी उपाय लागू करण्याची शिफारस करते: IBE (Internet Based Encryption) सुविधा GUI (Encryption -> IBE -> IBE Service 'off') किंवा CLI (config system encryption ibe / set status disable) द्वारे बंद करा; किंवा FortiMail webmail इंटरफेसपर्यंतच्या इंटरनेट प्रवेशाचे निषेध करा किंवा विश्वासार्ह खासगी जाळेपुरते मर्यादित करा; किंवा, पुढे WAF असेल तर '../' असलेल्या /ibe POST विनंती ब्लॉक करा. Fortinet ने दोन स्रोत IP आणि प्रणाली व एन्क्रिप्शन लॉगचे उदाहरणे देखील IoC म्हणून प्रकाशित केले, आणि Gwendal Guégniaud (Fortinet Product Security टीम) यांनी आतून दोषता शोधली हे नोंदवले (FG-IR-26-175).
CISA ने 1 ऑक्टोबर रोजी दोषता आपल्या KEV सूचीत जोडली आणि संघीय नागरिक संस्थांना 4 ऑक्टोबर — आज — पर्यंत प्रतिसाद देण्याचा कालावधी दिला (BOD 26-04, नोंदीनंतर 3 दिवस). KEV नोटीस उत्पादकाच्या निर्देशानुसार मृदुपणा लागू करण्याचे आदेश देतात, BOD 26-04 आणि CISA फॉरेंसिक ट्रियाज आवश्यकतांनुसार; forensicTriage हे 'होय' म्हणून चिन्हांकित आहे. Fortinet च्या IoC मध्ये IBE डिकोडिंग अपयशांमुळे एन्क्रिप्शन लॉगमधील प्रविष्ट्या समाविष्ट आहेत, ज्याचा सुचवतो की वापराचा मार्ग IBE इंटरफेसातून जातो; Fortinet ने हल्ल्याचा दिशास्वरिक (vector) अधिकृतपणे वर्णन केला नाही, म्हणून त्याला अनुमान म्हणून, तथ्य म्हणून नको (अनुमान खाली तथ्यांपासून वेगळे आहे). सध्याच्या KEV नोंदी 20 सप्टेंबर ते 2 ऑक्टोबर दरम्यान 17 प्रविष्ट्या दर्शवतात: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), दोन Check Point व्यवस्थापन-सर्व्हर दोष (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce आणि Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), दोन Citrix NetScaler दोष (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), ही FortiMail दोषता (CVE-2026-104286) आणि दोन Zammad दोष (CVE-2026-102490 / CVE-2026-102489) — अनेक सीमा-उपकरणांवरील व्यवस्थापन किंवा सुविधा-इंटरफेस आहेत (CISA KEV सूची, 2026.10.02).
विश्लेषण (तथ्यांपासून वेगळे): लक्षात घेण्यासारखे म्हणजे, सत्यापनाची मागणी न करणाऱ्या इंटरफेसपर्यंतचा अस्वीकृत प्रवेश थेट root-स्तरीय फाईल-लेखनावर पोहोचतो. या निरीक्षणगृहाच्या 15 सप्टेंबरीनंतर चर्चित Cisco SEG zero-day (CVE-2026-76461) जवळपास त्याच स्वरूपाची आहे: मेल-गेटवे मधील अस्वीकृत विनंती-प्रक्रिया SQL-इन्जेक्शनद्वारे root-कार्यान्विततेपर्यंत पोहोचते, आणि the-wild वापराची पुरेवाणी झाली त्यानंतर KEV मध्ये नोंद. मेल-गेटवे भूमिका सामायिक करणाऱ्या दोन उपकरणांवरील zero-day तीन आठवड्यांच्या आत KEV मध्ये आले, आणि दोन्ही प्रकरणांमध्ये लक्ष्य म्हणजे गेटवेवरील सुविधा-इंटरफेस, मेल-मार्ग स्वतः नाही. IBE ही मेल-एन्क्रिप्शन सुविधा आहे जी अनेक प्रसारणांमध्ये कमी-चित्रातील पाठवणाऱ्यांसाठीच सुरू असू शकते; जिथे सुरू आहे, तिचे इंटरफेस पार्श्व-प्रभावाच्या स्वरूपात इंटरनेटमधून पोहोचू शकते. एक सुविधा अस्वीकृत प्रवेशबिंदू सोडते — तोच संरचनात्मक मुद्दा आहे. Fortinet ची नोंद की दोषता आतून शोधली गेली, ही F5 BIG-IP APM दोषता (CVE-2026-94127) च्या त्याच नमुन्याचे अनुसरण करते आणि घोषणेपूर्वीची शांत वापर-खिडकी सूचित करू शकते. 7.2 शाखेसाठी कोणतीही दुरुस्त आवृत्ती नसल्याचा अर्थ असा की 4 ऑक्टोबरच्या मर्यादेआधी ते ठिकाणे फक्त 'पॅच' करू शकत नाहीत: निर्णय म्हणजे शाखा बदलणे किंवा सुविधा बंद करणे.
संरक्षणात्मक परिणाम: (1) जर IBE वापरात नसेल, तर GUI किंवा CLI द्वारे ती बंद करणे सर्वोच्च प्राधान्य आहे; CISA KEV नोटीस ज्या 'उत्पादकाच्या निर्देशानुसार मृदुपणा'स संदर्भित करतात तोच त्याचा अर्थ. (2) जर IBE वापरात असेल, तर WAF वर '../' असलेल्या /ibe POST ब्लॉक करा, किंवा webmail प्रवेश विश्वासार्ह खासगी जाळ्यापुरते मर्यादित करा; दोन्ही काळजीवरील उपाय आहेत आणि अंतिम आवृत्तीसोबत चालवावेत. (3) Fortinet च्या IoC नुसार (प्रणाली-लॉग मधील cron-सुरू /bin/sh -c आणि archive खातींमध्ये समावेश, एन्क्रिप्शन-लॉग मधील IBE डिकोडिंग-अपवाद) शोध चालवा, आणि उपकरणाच्या स्वतःचे लॉग आता प्राथमिक स्रोत नसू शकतात या गृहीतकाच्या स्वरूपात /ibe कडेच्या द्रवाची firewall / NetFlow इतिहास तपासा. (4) 7.2 शाखेवरील ठिकाणांसाठी 7.4 किंवा अधिकवरील स्थलांतरयोजना आता सुरू करा; दुरुस्त आवृत्तीशिवाय कालावधी-उत्तर म्हणजे स्थलांतर किंवा विलग. (5) सीमा-उपकरण इन्व्हेंटरीमध्ये IBE सारख्या एकक-सुविधा इंटरफेसच्या जाहीर प्रकटीकरणाला पुन्हा तपासा. दोन Citrix NetScaler प्रविष्ट्या (27 सप्टेंबरीला नोंदवले) आणि Cisco Catalyst SD-WAN Manager प्रविष्टी (30 सप्टेंबरीला नोंदवली) त्याच KEV-नोंदीच्या क्रमाचा भाग आहेत, त्याच तीन दिवसांच्या खिडकीसह. तथ्य Fortinet सूचना FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), CISA KEV सूची (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) आणि NVD CVE नोंदी (https://nvd.nist.gov/vuln/detail/CVE-2026-104286) वर आधारित आहेत. विश्लेषण तथ्यांपासून वेगळे ठेवले आहे.