Aktív támadás érinti a FortiMailt: a javításig a levelezési kapu elérése

A Fortinet közlése szerint aktív támadásokban használják ki a FortiMail levelezésvédelmi rendszer kritikus sérülékenységét. A CVE-2026-104286 azonosítójú hiba a termék kezelőfelületét érinti, CVSS-besorolása 9,8 a lehetséges 10 pontból. Ez elsősorban nem az egyéni e-mail-fiókok felhasználóinak ügye: azoknak a szervezeteknek fontos, amelyek FortiMail eszközzel szűrik vagy kezelik a vállalati levelezést.

A kockázat azért sürgős, mert a Fortinet szerint a sérülékenységet már kihasználják, vagyis úgynevezett nulladik napi támadásról van szó. Ez azt jelenti, hogy a hiba kihasználása már ismertté vált, miközben az érintett rendszerekhez nem minden verzióban érhető el kész javítás.

Mit engedhet a hiba egy támadónak?

A Fortinet tájékoztatása alapján egy hitelesítés nélküli támadó speciálisan összeállított HTTP- vagy HTTPS-kérésekkel tetszőleges fájlokat írhat az érintett készülék mögöttes rendszerére. Ebből jogosulatlan programkód vagy parancs futtatása is következhet a sérülékeny FortiMail eszközön.

A hiba egyik eleme az úgynevezett path traversal, magyarul nagyjából könyvtárbejárási hiba. Képzeljünk el egy raktárat, ahol a látogató elvileg csak egy kijelölt polchoz férhet hozzá, de a rendszer rosszul kezeli az útvonaljelöléseket, ezért a látogató más, lezárt helyiségekhez vezető ajtókig is eljuthat. Digitális környezetben ez azt jelentheti, hogy a támadó olyan mappákban vagy fájlhelyeken próbál műveletet végezni, amelyeknek normálisan elérhetetleneknek kellene lenniük.

A Fortinet szerint a CVE-2026-104286 esetében a null karakterek nem megfelelő kezelése is szerepet játszik. Ezek a rendszerek számára különleges jelentésű karakterek; hibás feldolgozásuk megkerülhetővé tehet bizonyos ellenőrzéseket.

Mely FortiMail-verziók érintettek?

A gyártó felsorolása szerint a sérülékenység a FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 és 7.2.0–7.2.9 kiadásait érinti. A hibát a Fortinet termékbiztonsági csapatának munkatársa, Gwendal Guégniaud azonosította belső vizsgálat során.

A FortiMail 7.2-t használók számára a Fortinet a 7.4-es vagy újabb ágára való frissítést jelölte meg megoldásként. A 7.4-es, 7.6-os és 8.0-sorozat érintett telepítéseihez ugyanakkor a forrásban szereplő tájékoztatás idején még nem volt elérhető végleges biztonsági frissítés. A javítást a Fortinet a készülő 7.4.9, 7.6.7 és 8.0.2 verziókhoz ígérte.

Mi a teendő a frissítés megérkezéséig?

A gyártó átmeneti megoldásként az IBE funkció támogatásának kikapcsolását javasolja. Alternatív lehetőségként a FortiMail kezelőfelületének internet felőli elérését lehet megszüntetni, vagy a hozzáférést megbízható belső hálózatokra korlátozni. Ezek üzemeltetési döntések: egy vállalati levelezési rendszer működésére is hatással lehetnek, ezért azokat a rendszer felelőseinek érdemes a saját környezetükben megtervezniük.

A Fortinet kompromittálódásra utaló jeleket és naplóbejegyzéseket is közzétett. Az egyik példa szerint egy archive234 nevű archív fiókot állítottak be parancssorból, távoli kiszolgálóként a 79.141.169.187 címmel, célmappaként pedig az /uploads könyvtárral. A cég szerint ez arra utalhat, hogy a támadó archivált adatokat próbált távoli szerverre továbbítani. Ez nem bizonyítja, hogy minden érintett rendszerről adat került ki, de indokolttá teheti a naplók és a szokatlan beállítások célzott ellenőrzését.

A támadások részletei továbbra sem nyilvánosak

A Fortinet nem közölte, mikor indult a kihasználás, hány rendszert érintett, és ki áll a támadások mögött. A vállalat a BleepingComputernek azt jelezte, hogy a riasztásban szereplő ideiglenes védekezési lehetőségekről tájékoztatja ügyfeleit, és illetékes állami szervekkel, köztük az amerikai CISA-val is egyeztet.

A CISA felvette a CVE-2026-104286 hibát az ismerten kihasznált sérülékenységek katalógusába, és az amerikai szövetségi ügynökségeknek október 4-i határidővel írta elő az érintett rendszerek vizsgálatát és a kockázat csökkentését. A FortiMailt használó szervezetek számára a gyakorlati következő lépés a pontos verzió ellenőrzése, majd a Fortinet hivatalos biztonsági közleményének követése a megfelelő frissítés és átmeneti beállítások miatt.