ای میل گیٹ وے کی بائی ڈور سے غیر تصدیقی فائل درجہ بندی — FortiMail زیرو ڈے CVE-2026-104286 اور IBE خصوصیت
Fortinet نے 1 اکتوبر کو FortiMail میں path traversal زیرو ڈے (CVE-2026-104286، CVSS 9.8) کا اعلان کیا جو غیر تصدیقی دلچسپ فائل درجہ بندی کی اجازت دیتا ہے، اور حقیقی استعمال کی تصدیق کی۔ CISA نے اسی دن اسے KEV katalog میں شامل کیا، فیڈرل مہلت 4 اکتوبر ہے۔ متاثرہ چاروں برانچوں میں کوئی ٹھیک شدہ ریلیز جاری نہیں، اس لیے IBE کو غیر فعال کرنا عارضی تدبیر ہے — ہم اسے ستمبر کے آخر کی KEV اضافہ کے ساتھ دیکھتے ہیں۔
یہ مضمون مشین سے ترجمہ کیا گیا ہے۔
1 اکتوبر 2026 کو Fortinet نے PSIRT اعلان FG-IR-26-175 کے ذریعے FortiMail میں CVE-2026-104286 کا اعلان کیا۔ خرابی کا تعلق محدود ڈائریکٹری تک پتھے کی ناقافی محدودی (path traversal، CWE-22) اور NULL بایٹس کے ناقافی خنثی کاری (CWE-158) کے امتزاج سے ہے: غیر تصدیقی حملہ آور بنائے گئے HTTP/HTTPS درخواستوں کے ذریعے بنیادی سسٹم پر کوئی بھی فائل درج کر سکتا ہے۔ NVD کا CVSS v3.1 اسکور 9.8 ہے (CRITICAL، Fortinet PSIRT نے CNA کے طور پر رپورٹ کیا)۔ چار ریلیز برانچز متاثر ہیں: FortiMail 8.0.0–8.0.1 (آنے والے 8.0.2 یا اوپر اپ گریڈ)، 7.6.0–7.6.6 (آنے والا 7.6.7 یا اوپر)، 7.4.0–7.4.8 (آنے والا 7.4.9 یا اوپر) اور 7.2.0–7.2.9 (برانچ 7.4 یا اوپر اپ گریڈ)۔ 2 اکتوبر تک تین نئی برانچوں کی ٹھیکیں ابھی 'آ رہی ہیں' کے طور پر نشان زد ہیں اور 7.2 برانچ کے لیے کوئی ٹھیک شدہ ریلیز منصوبہ بند نہیں۔ Fortinet کا کہنا ہے کہ خرابی 'in the wild استعمال ہونے کی رپورٹ ہوئی ہے' اور گاہکوں کو متبادل تدبیر نافذ کرنے کی سفارش ہے: IBE (Internet Based Encryption) خصوصیت کو GUI (Encryption -> IBE -> IBE Service 'off') یا CLI (config system encryption ibe / set status disable) سے غیر فعال کریں؛ یا FortiMail ویب میل انٹرفیس تک انٹرنیٹ رسائی غیر فعال کریں یا معتبر نجی نیٹ ورک تک محدود کریں، یا اگر آگے WAF ہو تو '../' والے /ibe POST درخواستوں کو بلاک کریں۔ Fortinet نے دو ذریعہ IP اور سسٹم اور انکرپشن لاگ کے نمونے بھی IoC کے طور پر جاری کیے، اور دریافت کو Fortinet پروڈکٹ سیکیورٹی ٹیم کے Gwendal Guégniaud کے اندرونی قرار دیا (FG-IR-26-175)۔
CISA نے 1 اکتوبر کو خرابی کو اپنے KEV katalog میں شامل کیا اور فیڈرل سول اداروں کو 4 اکتوبر — آج — تک ردعمل دینے کی مہلت دی (BOD 26-04، شامل ہونے سے 3 دن)۔ KEV نوٹس پروڈیوسر کی ہدایت کے مطابق نرمی نافذ کرنے کی اعلان کرتے ہیں، BOD 26-04 اور CISA فورینسک ٹرائیج ضروریات کے مطابق؛ forensicTriage جی نشان زد ہے۔ Fortinet کے IoC میں IBE ڈیکوڈنگ ناکامیوں سے انکرپشن لاگ کے اندراجات شامل ہیں، جو اس طرف اشارہ کرتے ہیں کہ استعمال کا راستہ IBE انٹرفیس سے گزرتا ہے؛ Fortinet نے حملے کی سمت کو باقاعدہ بیان نہیں کیا، اس لیے یہ استنتاج ہے، حقیقت نہیں (استنتاج نیچے حقیقت سے علیحدہ ہے)۔ حالیہ KEV اضافے 20 ستمبر سے 2 اکتوبر کے درمیان 17 اندراجات دکھاتے ہیں: Zyxel GS1900 (CVE-2026-7273)، Arista VeloCloud Orchestrator (CVE-2026-93952)، F5 BIG-IP APM (CVE-2026-94127)، دو Check Point مینجمنٹ سرور خرابیاں (CVE-2026-93616 / CVE-2026-85102)، WSO2 (CVE-2026-5430)، Adobe Commerce اور Magento (CVE-2026-71362)، MikroTik RouterOS (CVE-2026-67279)، Microsoft SharePoint (CVE-2026-65660)، WordPress Core (CVE-2026-87902)، دو Citrix NetScaler خرابیاں (CVE-2026-88772 / CVE-2026-88771)، Cisco Catalyst SD-WAN Manager (CVE-2026-76504)، Apple (CVE-2026-86950)، یہ FortiMail خرابی (CVE-2026-104286) اور دو Zammad خرابیاں (CVE-2026-102490 / CVE-2026-102489) — بہت سی سرحدی آلات کے مینجمنٹ یا خصوصیت انٹرفیس ہیں (CISA KEV katalog، 2026.10.02)۔
تجزیہ (حقیقت سے علیحدہ): جو توجہ طلب ہے وہ یہ کہ تصدیق مانگنے والا انٹرفیس تک غیر تصدیقی رسائی سیدھی root سطح کی فائل درجہ بندی پر آتی ہے۔ اس مشاہدہ گاہ نے 15 ستمبر کو جائزہ لیا Cisco SEG زیرو ڈے (CVE-2026-76461) تقریباً اسی شکل کا ہے: ای میل گیٹ وے میں غیر تصدیقی درخواست عملداری SQL انجیکشن کے ذریعے root کارروائی تک پہنچتی ہے، یہاں بھی in the wild استعمال تصدیق شدہ ہے اور پھر KEV میں شامل۔ ای میل-گیٹ وے کردار شیئر کرنے والے دو آلات کے زیرو ڈے نے تین ہفتوں کے اندر KEV میں داخلہ حاصل کیا، اور دونوں صورتوں میں ہدف گیٹ وے کا خصوصیت انٹرفیس ہے، ای میل راستہ خود نہیں۔ IBE ایک ای میل انکرپشن خصوصیت ہے جسے بہت سی تنصیبات شاید محدود بھیجنے والوں کے لیے ہی فعال رکھی ہو؛ جہاں فعال ہے، اس کا انٹرفیس جانبی اثر کے طور پر انٹرنیٹ سے رسائی پذیر رہ سکتا ہے۔ ایک خصوصیت غیر تصدیقی داخلے کا نقطہ چھوڑتی ہے — یہی ساختی نقطہ ہے۔ Fortinet کا ذکر کہ خرابی اندرونی طور پر دریافت ہوئی، F5 BIG-IP APM خرابی (CVE-2026-94127) کے اسی پیٹرن کے مطابق ہے اور اعلان سے پہلے خاموش استعمال کی کھڑکی کی طرف اشارہ کر سکتا ہے۔ 7.2 برانچ کے لیے کسی بھی ٹھیک شدہ ریلیز کی غیر موجودگی کا مطلب ہے کہ 4 اکتوبر کی مہلت سے پہلے وہ مقامات بس 'پچ لاگ' نہیں کر سکتے: فیصلہ برانچ بدلنا یا خصوصیت بند کرنا ہے۔
دیفاعی مضمرات: (1) اگر IBE استعمال میں نہیں ہے تو GUI یا CLI سے اسے غیر فعال کرنا سب سے پہلا ترجیح ہے؛ یہی 'پروڈیوسر ہدایت کے مطابق نرمی' ہے جس کی طرف CISA KEV نوٹس اشارہ کرتے ہیں۔ (2) اگر IBE استعمال میں ہے تو WAF پر '../' والے /ibe POST بلاک کریں، یا ویب میل رسائی کو معتبر نجی نیٹ ورک تک محدود کریں؛ دونوں عارضی ہیں اور حتمی ریلیز کے ساتھ چلانی چاہئیں۔ (3) Fortinet کے IoC (سسٹم لاگز میں cron شuru /bin/sh -c اور archive اکاؤنٹس شامل ہونا، انکرپشن لاگ میں IBE ڈیکوڈنگ استثنا) کے مطابق شناخت چلائیں، اور ڈیوائس کے اپنے لاگز اب ابتدائی ماخذ نہ بھی ہوں اس فرض کے ساتھ /ibe کی طرف ٹریفک کے لیے firewal / NetFlow تاریخ جانچیں۔ (4) 7.2 برانچ کے مقامات کے لیے ابھی سے 7.4 یا اوپر کی منتقلی منصوبہ بندی شروع کریں؛ ٹھیک شدہ ریلیز کے بغیر مہلت کا جواب منتقلی یا انزوا ہے۔ (5) سرحدی آلات کی فہرست میں IBE جیسے اکیلا خصوصیت انٹرفیس کے عوامی ظہور کو دوبارہ جانچیں۔ دو Citrix NetScaler اندراجات (27 ستمبر کو شامل) اور Cisco Catalyst SD-WAN Manager اندراج (30 ستمبر کو شامل) اسی KEV اضافہ سلسلے کا حصہ ہیں، اسی تین دنوں کی کھڑکی کے ساتھ۔ حقائق Fortinet اعلان FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175)، CISA KEV katalog (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) اور NVD CVE ریکارڈ (https://nvd.nist.gov/vuln/detail/CVE-2026-104286) پر مبنی ہیں۔ تجزیہ حقیقت سے علیحدہ رکھا گیا ہے۔