Nyieun file tanpa autenticasi leuwih panto tukang gateway surelek — zero-day FortiMail CVE-2026-104286 jeung fitur IBE
Dina 1 Oktober, Fortinet ngadumakeun zero-day path traversal di jero FortiMail (CVE-2026-104286, CVSS 9.8) nu ngijinkeun nyieun file anu sarbapan tanpa autenticasi, sarta ngajénkeun yen éksploitasi geus kajadian di jero alam. CISA nyetélkeun ka katalog KEV dina nu sarua kalayan tenggat federal 4 Oktober. Teu aya rilis nu geus dibenerkeun di cabang nu kapangaruhan opat, kituna nyabret IBE jadi léngkah samentara — urang ngameanakeunana dina konteks lonjakan KEV akhir Séptémber.
Artikel ieu ditarjamahkeun ku mesin.
Dina 1 Oktober 2026, Fortinet ngadumakeun CVE-2026-104286 di jero FortiMail leuwih advisori PSIRT FG-IR-26-175. Kasalahan ieu ngahijiang pembatasan pathname nu teu cukup ka direktori anu wates (path traversal, CWE-22) kalayan penetralan byte NULL anu teu cukup (CWE-158): serangan anu teu diautentikasi tiasa nyieun file anu sarbapan di sistem dasarna leuwih request HTTP atawa HTTPS anu digawe. Skor CVSS v3.1 tina NVD nyaéta 9.8 (CRITICAL, dilaporkeun ku PSIRT Fortinet salaku CNA). Opat cabang rilis kapangaruhan: FortiMail 8.0.0–8.0.1 (naekeun ka 8.0.2 anu bakal datang atawa nu leuwih luhur), 7.6.0–7.6.6 (7.6.7 anu bakal datang atawa nu leuwih luhur), 7.4.0–7.4.8 (7.4.9 anu bakal datang atawa nu leuwih luhur), jeung 7.2.0–7.2.9 (naekeun ka cabang 7.4 atawa nu leuwih luhur). Dina 2 Oktober, panerapan pikeun tilu cabang nu anyar masih ditandaan salaku 'akan datang', jeung teu aya rilis anu dibenerkeun anu direncankeun pikeun cabang 7.2. Fortinet nyebut yen bug 'dilaporkeun dipaké di jero alam', sarta nyarankeun ka para palanggan pikeun nerapkeun léngkah kerja: nyabret fitur IBE (Internet Based Encryption) leuwih GUI (Encryption -> IBE -> IBE Service 'off') atawa CLI (config system encryption ibe / set status disable); atawa nyabret aksés internet ka antarmuka webmail FortiMail atawa watesanana ka jaringan privat anu dipercaya; atawa, upami WAPP aya di payun, blok request POST ka /ibe anu ngawengku '../'. Fortinet ogé ngajénkeun dua IP sumber jeung contona tina log sistem jeung enkripsi salaku IoC, sarta nyatet yen kasalahan ieu dipikawanoh sacara internal ku Gwendal Guégniaud tina tim Kamanahan Produk Fortinet (FG-IR-26-175).
CISA nyetélkeun kasalahan kana katalog KEV dirina dina 1 Oktober jeung nyadiakeun waktu pikeun badan sipil federal nepi ka 4 Oktober — poé ieu — pikeun ngajawab (BOD 26-04, tilu poé sanggeus ditata). Catatan KEV ngarahkeun operator pikeun nerapkeun mitigasi miturut instruksi vendor, miturut BOD 26-04 sarta Persyaratan Triase Forensik CISA; forensicTriage ditandaan 'iya'. IoC Fortinet ngawengku entri tina log enkripsi anu asalna tina kagagalan dekripsi IBE, nu nunjukkeun yen jalur éksploitasi leuwih antarmuka IBE; Fortinet teu njlentrehkeun véktor serangan sacara resmi, kituna katapang salaku inferénsi, sanes fakta (inferénsi dipisah tina fakta di handap). Nambahkeun KEV anu anyar némbongkeun 17 entri antara 20 Séptémber jeung 2 Oktober: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), tilu kasalahan server manajemén Check Point (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce jeung Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), tilu kasalahan Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), kasalahan FortiMail ieu (CVE-2026-104286), jeung tilu kasalahan Zammad (CVE-2026-102490 / CVE-2026-102489) — seueur anu aya di antarmuka manajemén atawa fitur di piranti wates (katalog CISA KEV, 2026.10.02).
Analisis (dipisah tina fakta): nu kedah ditemo nyaéta yen aksés tanpa autenticasi ka antarmuka anu teu ngahontal autenticasi langsung ka nyieun file tingkat root. Zero-day Cisco SEG anu dibahas observatori ieu dina 15 Séptémber (CVE-2026-76461) eusina hampir sarua: pamrosésan request tanpa autenticasi di gateway surelek ka eksekusi tingkat root leuwih injéksi SQL, sarta mbenahkeun éksploitasi di jero alam saméméh ditata KEV. Opat zero-day di piranti anu nyéwa peran gateway surelek mlebet KEV di jero tilu minggu, sarta dina dua kasus targetna antarmuka fitur di gateway, sanes jalur surelekna dirina. IBE nyaéta fitur enkripsi surelek nu seueur panggunaanna bisa diaktifkeun ngan pikeun kelompok panyanding anu wates; di mana diaktifkeun, antarmukana bisa tetep tiasa dituju tina internét salaku hasil sampingan. Sataluina fitur ninggalkeun titik mlebet tanpa autenticasi — éta titik strukturalna. Catatan Fortinet yen kasalahan ieu dipikawanoh sacara internal ngadumakeun pola anu sarua kieu kasalahan F5 BIG-IP APM (CVE-2026-94127), sarta bisa nunjukkeun jandela éksploitasi anu hening saméméh diadumakeun. Teu aya rilis anu dibenerkeun pikeun cabang 7.2 hartina lokasi ieu teu bisa ngan 'nampal' saméméh tenggat 4 Oktober: ketemanna nyaéta ngarobah cabang atawa nyabret fitur.
Implikasi pertahanan: (1) Upami IBE teu dipaké, nyabret leuwih GUI atawa CLI jadi prioritas pisanan; éta persis 'mitigasi miturut instruksi vendor' nu dirujuk catatan CISA KEV. (2) Upami IBE dipaké, blok POST ka /ibe anu ngawengku '../' di WAF, atawa watesan aksés webmail ka jaringan privat anu dipercaya; dua-duanana léngkah samentara anu kedah dipasèkeun jeung rilis pungsional. (3) Jaga deteksi miturut IoC Fortinet (/bin/sh -c nu diluncurkeun ku cron sarta katambahan akun archive di log sistem, pengecualian dekripsi IBE di log enkripsi), sarta ti asumsi yen log piranti dirina teu jadi sumber pisanan deui, tinjau riwayat firewall / NetFlow pikeun laluan ka /ibe. (4) Pikeun lokasi cabang 7.2, ngamimitian rencana migrasi ka 7.4 atawa nu leuwih luhur ayeuna; teu aya rilis anu dibenerkeun, jawaban tenggat nyaéta migrasi atawa isolasi. (5) Di inventaris piranti wates, periksa deui papanan umum antarmuka fitur sataluina kieu IBE. Dua entri Citrix NetScaler (ditata dina 27 Séptémber) sarta entri Cisco Catalyst SD-WAN Manager (ditata dina 30 Séptémber) bagian tina runtuyan nambahkeun KEV anu sarua, kalayan jandela tilu poé anu sarua. Fakter di dieu nyadangan tina advisori Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), katalog CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), jeung rékam CVE NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). Analisis ditahan dipisah tina laporan.