Fortinet a publié le 1er octobre un avis sur une vulnérabilité critique de FortiMail, sa passerelle de sécurité e-mail, déjà exploitée dans la nature. Référencée CVE-2026-104286 et notée 9,8 sur 10 (CVSS v3.1), elle permet à un attaquant non authentifié d’écrire des fichiers arbitraires sur le système. Les versions corrigées sont annoncées mais pas encore disponibles.
La vulnérabilité
Selon l’avis FG-IR-26-175, il s’agit d’une traversée de répertoire (CWE-22) combinée à une mauvaise neutralisation de l’octet nul (CWE-158). Des requêtes HTTP ou HTTPS forgées permettent d’écrire des fichiers en dehors des répertoires prévus, ce qui peut mener à l’exécution de code. La faille a été découverte en interne par l’équipe sécurité produit de Fortinet.
Fortinet n’a pas précisé depuis quand les attaques ont lieu, combien d’équipements sont compromis ni qui en est l’auteur. L’éditeur a en revanche publié des indicateurs de compromission (fichiers, adresses IP, entrées de journaux) pour aider les administrateurs à vérifier leurs appareils.
Versions concernées
| Branche | Versions vulnérables | Correctif annoncé |
|---|---|---|
| FortiMail 8.0 | 8.0.0 à 8.0.1 | 8.0.2 |
| FortiMail 7.6 | 7.6.0 à 7.6.6 | 7.6.7 |
| FortiMail 7.4 | 7.4.0 à 7.4.8 | 7.4.9 |
| FortiMail 7.2 | 7.2.0 à 7.2.9 | migrer vers 7.4 ou plus |
Au moment de la publication de l’avis, aucune de ces versions corrigées n’était encore sortie. Les utilisateurs de la branche 7.2 n’auront pas de correctif : ils doivent passer en 7.4 ou au-delà.
Faille exploitée et pas de correctif : si votre FortiMail expose son interface web sur Internet, appliquez le contournement dès maintenant et cherchez des traces de compromission, sans attendre la mise à jour.
Le contournement en attendant le correctif
Fortinet recommande de désactiver la prise en charge du chiffrement basé sur l’identité (IBE), soit dans l’interface graphique, soit en ligne de commande :
config system encryption ibe
set status disable
endAutre option proposée par l’éditeur : retirer l’interface d’administration de l’accès direct à Internet, ou la restreindre à un réseau privé de confiance. Désactiver IBE coupe évidemment la fonction de messagerie chiffrée pour les destinataires qui l’utilisent : à vous de prévenir les utilisateurs concernés.
Ce que demande la CISA
L’agence américaine de cybersécurité a ajouté CVE-2026-104286 à son catalogue des vulnérabilités activement exploitées (KEV) dès le 1er octobre. Les agences fédérales civiles américaines ont jusqu’au 4 octobre pour traiter la faille, un délai particulièrement court qui en dit long sur l’urgence.
La checklist pour les administrateurs
- Inventoriez vos FortiMail et leur version.
- Appliquez le contournement IBE ou restreignez l’accès à l’interface web.
- Recherchez les indicateurs de compromission listés dans l’avis de Fortinet, dans les fichiers et dans les journaux.
- En cas de doute sur un appareil exposé, traitez-le comme compromis : la faille permet d’écrire des fichiers, donc potentiellement de déposer une porte dérobée.
- Installez la version corrigée de votre branche dès sa sortie.
Ce qu’on en retient
Les équipements de bordure, VPN, pare-feu et passerelles e-mail, restent la cible favorite des attaquants : ils sont exposés par nature et rarement surveillés comme un serveur. Une interface d’administration accessible depuis Internet transforme chaque faille de ce type en porte d’entrée.