Escrita de arquivos sem autenticação pela porta dos fundos de um gateway de e-mail — dia zero do FortiMail CVE-2026-104286 e o recurso IBE
A Fortinet revelou em 1 de outubro um dia zero de percurso de caminho no FortiMail (CVE-2026-104286, CVSS 9.8) que permite escrita de arquivos arbitrários sem autenticação, e confirmou exploração em produção. O CISA o adicionou ao catálogo KEV no mesmo dia, com prazo federal até 4 de outubro. Nenhuma das quatro linhas de versão afetadas tem versão corrigida publicada; a desativação do IBE é a medida provisória — o examinamos junto ao crescimento do KEV de fim de setembro.
Este artigo foi traduzido por máquina.
Em 1 de outubro de 2026, a Fortinet revelou a CVE-2026-104286 no FortiMail por meio do aviso PSIRT FG-IR-26-175. A falha combina uma limitação inadequada do caminho a um diretório restrito (path traversal, CWE-22) com a neutralização inadequada de bytes NUL (CWE-158): um atacante não autenticado pode gravar arquivos arbitrários no sistema subjacente por meio de requisições HTTP/HTTPS elaboradas. A pontuação CVSS v3.1 da NVD é 9.8 (CRÍTICA, reportada pela Fortinet PSIRT como CNA). Quatro linhas de release são afetadas: FortiMail 8.0.0–8.0.1 (atualizar para a iminente 8.0.2 ou superior), 7.6.0–7.6.6 (iminente 7.6.7 ou superior), 7.4.0–7.4.8 (iminente 7.4.9 ou superior) e 7.2.0–7.2.9 (atualizar para a linha 7.4 ou superior). Até 2 de outubro, as correções das três linhas mais recentes continuam marcadas como 'iminente' e a linha 7.2 não tem nenhuma versão corrigida planejada. A Fortinet afirma que a vulnerabilidade 'foi reportada como explorada em produção' e pressiona clientes a aplicar o contorno: desativar o recurso IBE (Internet Based Encryption) pela GUI (Encryption -> IBE -> IBE Service 'off') ou pela CLI (config system encryption ibe / set status disable); alternativamente, desativar o acesso à internet à interface webmail do FortiMail ou limitá-lo a redes privadas confiáveis, ou, havendo um WAF na frente, bloquear requisições POST para /ibe contendo '../'. A Fortinet também publicou dois IPs de origem e exemplos de logs de sistema e de criptografia como IoC, e atribuiu a descoberta a Gwendal Guégniaud, da equipe de Segurança de Produto da Fortinet (FG-IR-26-175).
O CISA adicionou a vulnerabilidade ao seu catálogo KEV em 1 de outubro e deu às agências federais civis até 4 de outubro — hoje — para responder (BOD 26-04, três dias após a inclusão). As notas KEV exigem aplicar a mitigação indicada pelo fabricante em conformidade com o BOD 26-04 e os Requisitos de Triagem Forense do CISA; forensicTriage está marcado como Sim. Os IoC da Fortinet incluem entradas do log de criptografia decorrentes de falhas de decodificação IBE, o que sugere que o caminho de exploração percorre a interface IBE; a Fortinet não descreveu formalmente o vetor de ataque, então trate isso como inferência, não como fato (a inferência é separada dos fatos abaixo). As inclusões recentes no KEV mostram 17 entradas entre 20 de setembro e 2 de outubro: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), duas falhas de servidores de gerenciamento Check Point (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce e Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), duas falhas Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), esta falha do FortiMail (CVE-2026-104286) e duas falhas Zammad (CVE-2026-102490 / CVE-2026-102489) — muitas delas interfaces de gerenciamento ou de recurso em dispositivos de fronteira (catálogo KEV do CISA, 2026.10.02).
Análise (separada dos fatos): o que merece atenção é que o acesso não autenticado a uma interface que não exige autenticação chega diretamente a uma gravação de arquivo em nível root. O dia zero do Cisco SEG que este observatório cobriu em 15 de setembro (CVE-2026-76461) tem praticamente a mesma forma: processamento de requisições não autenticadas em um gateway de e-mail que atinge a execução root por injeção SQL, também com exploração em produção confirmada e posterior inclusão no KEV. Dois dias zero em dispositivos que compartilham o papel de gateway de e-mail entraram no KEV em três semanas, e o alvo em ambos os casos é uma interface de recurso no gateway, não o caminho do e-mail em si. O IBE é um recurso de criptografia de e-mail que muitos deploys podem ter ativado apenas para um grupo restrito de remetentes; onde está ativo, a interface pode continuar acessível pela internet como efeito colateral. Um único recurso deixa uma entrada sem autenticação — esse é o ponto estrutural. A nota da Fortinet de que o defeito foi encontrado internamente segue o mesmo padrão da falha do F5 BIG-IP APM (CVE-2026-94127) e pode sugerir uma janela de exploração silenciosa antes do anúncio. A ausência de qualquer versão corrigida para a linha 7.2 significa que esses locais não podem simplesmente 'aplicar a correção' antes do prazo de 4 de outubro: a decisão é migrar de linha ou desligar o recurso.
Implicações defensivas: (1) Onde o IBE não é usado, desativá-lo pela GUI ou CLI é a prioridade máxima; é exatamente a 'mitigação conforme as instruções do fabricante' a que as notas KEV do CISA apontam. (2) Onde o IBE é usado, bloqueie no WAF POSTs para /ibe contendo '../', ou limite o acesso ao webmail a redes privadas confiáveis; ambos são temporários e devem acompanhar a versão final. (3) Execute a detecção contra os IoC da Fortinet (a execução /bin/sh -c iniciada por cron e o acréscimo de contas archive nos logs de sistema, a exceção de decodificação IBE no log de criptografia) e, na premissa de que os próprios logs do dispositivo podem não ser mais a fonte primária, reveja o histórico de firewall / NetFlow do tráfego para /ibe. (4) Para locais na linha 7.2, inicie agora o plano de migração para 7.4 ou superior; sem versão corrigida, a resposta ao prazo é migração ou isolamento. (5) No inventário de dispositivos de fronteira, reveja a exposição pública de interfaces de recurso único como o IBE. As duas entradas Citrix NetScaler (incluídas em 27 de setembro) e a entrada Cisco Catalyst SD-WAN Manager (incluída em 30 de setembro) fazem parte da mesma leva de inclusões no KEV, com a mesma janela de três dias. Os fatos se apoiam no aviso da Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), no catálogo KEV do CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) e no registro CVE da NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). A análise é mantida separada dos fatos.