Неавторизованная запись файлов через «бэкдур» почтового шлюза — нулевой день FortiMail CVE-2026-104286 и функция IBE
1 октября Fortinet раскрыл уязвимость нулевого дня обхода путей (path traversal) в FortiMail (CVE-2026-104286, CVSS 9.8), позволяющую неавторизованную запись произвольных файлов, и подтвердил эксплуатацию в реальных сетях. CISA добавил её в каталог KEV в тот же день, федеральный дедлайн — 4 октября. Ни одна из четырёх затронутых версионных веток ещё не получила выпущенной сборки с исправлением, поэтому отключение IBE — временная мера; разбираем её в контексте резкого роста KEV в конце сентября.
Эта статья была переведена машиной.
1 октября 2026 года Fortinet опубликовал CVE-2026-104286 в FortiMail в уведомлении PSIRT FG-IR-26-175. Уязвимость объединяет недостаточное ограничение пути к разрешённому каталогу (path traversal, CWE-22) и недостаточную нейтрализацию байтов NULL (CWE-158): неавторизованный атакующий может записать произвольные файлы на базовой системе через специально сформированные HTTP/HTTPS-запросы. Балл CVSS v3.1 по данным NVD — 9.8 (CRITICAL, заявлено Fortinet PSIRT как CNA). Затронуты четыре ветки версий: FortiMail 8.0.0–8.0.1 (обновление до ожидаемого 8.0.2 и выше), 7.6.0–7.6.6 (ожидаемый 7.6.7 и выше), 7.4.0–7.4.8 (ожидаемый 7.4.9 и выше) и 7.2.0–7.2.9 (обновление до ветки 7.4 и выше). По состоянию на 2 октября исправления для трёх новейших веток всё ещё отмечены как «ожидается», а для ветки 7.2 запланированной сборки с исправлением нет вовсе. Fortinet указывает, что уязвимость «сообщается как эксплуатируемая в дикой природе», и настоятельно рекомендует применить обходной путь: отключить функцию IBE (Internet Based Encryption) через GUI (Encryption -> IBE -> IBE Service 'off') или CLI (config system encryption ibe / set status disable); либо отключить/ограничить интернет-доступ к веб-интерфейсу webmail FortiMail до доверенных частных сетей, либо, при наличии WAF спереди, блокировать POST-запросы к /ibe, содержащие '../'. Fortinet также опубликовал два исходных IP и примеры системных и журналов шифрования в качестве IoC, а обнаружение отнесено на счёт Gwendal Guégniaud из команды продуктовой безопасности Fortinet (FG-IR-26-175).
CISA добавил уязвимость в каталог KEV 1 октября и определил для федеральных гражданских агентств срок до 4 октября — сегодня — (BOD 26-04, три дня с момента внесения). Примечания KEV требуют применения смягчения, предписанного производителем, в соответствии с BOD 26-04 и требованиями CISA по форензическому триажу; forensicTriage отмечен как Да. IoC от Fortinet включают записи журнала шифрования, связанные с неудачами расшифровки IBE, что намекает, что путь эксплуатации проходит через интерфейс IBE; Fortinet не описал вектор атаки официально, поэтому это — вывод, а не факт (вывод отделён от фактов ниже). Свежие вхождения в KEV показывают 17 записей между 20 сентября и 2 октября: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), две уязвимости серверов управления Check Point (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce и Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), две уязвимости Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), эта уязвимость FortiMail (CVE-2026-104286) и две уязвимости Zammad (CVE-2026-102490 / CVE-2026-102489) — многие из них — интерфейсы управления или отдельных функций на пограничных устройствах (каталог KEV CISA, 2026.10.02).
Анализ (отделён от фактов): на что стоит обратить внимание, так это на то, что неавторизованный доступ к интерфейсу, не требующему аутентификации, ведёт прямо к записи файла на уровне root. Нулевой день Cisco SEG, о котором эта лаборатория писала 15 сентября (CVE-2026-76461), имеет почти ту же форму: обработка запросов без аутентификации на почтовом шлюзе приводит к запуску кода на уровне root через SQL-инъекцию, здесь тоже подтверждена эксплуатация в дикой природе с последующим внесением в KEV. Два нуля на устройствах с ролью почтового шлюза попали в KEV в пределах трёх недель, и цель в обоих случаях — функциональный интерфейс шлюза, а не сам путь почты. IBE — функция шифрования почты, которую во многих развёртываниях, вероятно, включали только для узкого круга отправителей; где она включена, её интерфейс может оставаться доступным из интернета как побочный эффект. Одна функция оставляет неавторизованную точку входа — в этом структурная суть. Замечание Fortinet о внутреннем обнаружении повторяет тот же паттерн, что и уязвимость F5 BIG-IP APM (CVE-2026-94127), и может намекать на бесшумное окно эксплуатации до раскрытия. Отсутствие какой-либо сборки с исправлением для ветки 7.2 означает, что эти площадки не смогут просто «поставить патч» до дедлайна 4 октября: решение — сменить ветку или отключить функцию.
Следствия для защиты: (1) Если IBE не используется, его отключение через GUI или CLI — главный приоритет; это ровно то «смягчение по инструкции производителя», на которое указывают примечания CISA KEV. (2) Если IBE используется, блокируйте на WAF POST-запросы к /ibe, содержащие '../', либо ограничьте доступ к webmail доверенными частными сетями; оба варианта — временные меры, их стоит совмещать с окончательной сборкой. (3) Выявление ведите по IoC от Fortinet (запуск /bin/sh -c через cron и добавление учётных записей archive в системных журналах; исключение при расшифровке IBE в журнале шифрования), и параллельно, из предположения, что собственные журналы устройства могут быть уже не первоисточником, просматривайте историю файрвола / NetFlow на трафик в /ibe. (4) Для площадок на ветке 7.2 — сейчас же запускайте план миграции на 7.4 или новее; без сборки с исправлением ответ на дедлайн — миграция или изоляция. (5) В инвентаре пограничных устройств повторно проверьте публичную открытость одиночных функциональных интерфейсов, таких как IBE. Две записи Citrix NetScaler (внесены 27 сентября) и запись Cisco Catalyst SD-WAN Manager (внесена 30 сентября) — часть той же серии вносов в KEV, со схожим трёхдневным окном. Факты опираются на уведомление Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), каталог KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) и запись CVE в NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). Анализ отделён от фактов.