Fortinet предупреждает клиентов FortiMail: уязвимость CVE-2026-104286 в компоненте Identity-Based Encryption (IBE) уже активно эксплуатируется, а официального патча пока нет.
Баг сочетает path traversal с некорректной обработкой NULL-байтов — неаутентифицированный атакующий может манипулировать путями файлов, которые обрабатывает GUI компонента IBE, и записать произвольный файл на диск через обычный HTTP- или HTTPS-запрос. CVSS 9.8, аутентификация не нужна, взаимодействие с пользователем не нужно. CISA добавила уязвимость в каталог Known Exploited Vulnerabilities 1 октября и дала федеральным агентствам США срок до 4 октября на устранение.
Затронуты версии FortiMail с 8.0.0 по 8.0.1, с 7.6.0 по 7.6.6, с 7.4.0 по 7.4.8 и с 7.2.0 по 7.2.9. Нашла дыру собственная команда безопасности Fortinet — это единственная причина, по которой адвайзори вообще появилось раньше готовых сборок. Пока не вышли 8.0.2, 7.6.7 и 7.4.9, официальная рекомендация вендора прямолинейна: если IBE не нужен, отключите его целиком (config system encryption ibe / set status disable).
Почтовые шлюзы стоят ровно там, где подобная дыра бьёт сильнее всего: обращены в интернет по определению и пользуются доверием всего, что за ними. Если FortiMail — часть вашего периметра, вопрос сейчас не только «накатили ли мы хотфикс», но и не проник ли кто-то уже в то окно, пока патча не существовало. Именно такую экспозицию на периметре находит наш пентест внешнего периметра, причём до того, как об этом напишут в адвайзори.