FortiMail CVE-2026-104286: la falla crítica explotada ya tiene parche — comprueba si hubo intrusión antes de actualizar

Si tu empresa usa un FortiMail —el gateway de correo de Fortinet que filtra spam, phishing y malware antes de que los mensajes lleguen a los buzones—, este es uno de esos avisos que no pueden esperar a la próxima ventana de mantenimiento. La falla CVE-2026-104286, con puntuación CVSS 9.8, permite que alguien sin iniciar sesión escriba archivos arbitrarios en el equipo, y la propia Fortinet confirma que ya se está explotando.

La buena noticia es que desde el 5 de octubre hay versiones corregidas. La menos buena es que actualizar no basta: si el equipo fue comprometido antes del parche, lo que el atacante dejó dentro sigue ahí. A continuación, lo que se sabe, a quién afecta y el orden correcto para actuar.

Qué es la falla

Según el aviso FG-IR-26-175, publicado el 1 de octubre de 2026, se trata de la combinación de dos debilidades: path traversal (CWE-22) y neutralización incorrecta del byte nulo (CWE-158). En la práctica, peticiones HTTP o HTTPS manipuladas pueden escribir archivos fuera del directorio en el que el servicio web debería escribir. Fortinet clasifica el impacto como "ejecución de código o comandos no autorizados" y marca el problema como explotado conocido.

El componente vulnerable está ligado al IBE (Identity Based Encryption), la función de FortiMail que permite a destinatarios externos abrir correos cifrados a través de un portal web. Como el IBE solo funciona si ese portal es accesible desde internet, muchos equipos están expuestos por diseño.

La falla fue descubierta internamente por Gwendal Guégniaud, del equipo de seguridad de producto de Fortinet. La empresa no ha dicho quién está detrás de los ataques, cuándo empezaron ni cuántos clientes se vieron afectados.

La agencia estadounidense CISA añadió la CVE a su catálogo KEV (vulnerabilidades explotadas conocidas) el mismo día, con plazo hasta el 4 de octubre para las agencias federales, y marcó la entrada como sujeta a triaje forense según la directiva BOD 26-04: es decir, no basta con parchear, hay que comprobar si hubo intrusión. Ya hablamos de esa directiva en el caso de Ivanti Sentry.

Qué versiones están afectadas

Tres puntos a tener en cuenta:

• FortiMail Cloud ya fue corregido por Fortinet el 5 de octubre (todos los firmwares pasaron a 7.6.7 u 8.0.2). Los clientes de la nube no tienen que hacer nada.
• La rama 7.2 no recibirá corrección. Quien esté en ella debe planificar la migración a 7.4.9 o posterior, y las versiones 7.4 anteriores a 7.4.9 también son vulnerables.
• El portal ThreatFrontier observó que el registro que Fortinet envió al NVD incluye también FortiMail 7.0.0 a 7.0.9, aunque la tabla del aviso no menciona la rama 7.0. Si todavía usas 7.0, trata el equipo como expuesto.

Si todavía no puedes actualizar: la mitigación oficial

Mientras no se actualiza, Fortinet indica tres opciones, de la más fuerte a la más limitada:

1. Desactivar el IBE, si la empresa puede prescindir de él: en la interfaz, en Encryption → IBE → IBE Service, ponerlo en "off". Por línea de comandos, el aviso incluye el bloque config system encryption ibe / set status disable / end.
2. Sacar el webmail de FortiMail de internet, o permitir el acceso solo desde redes privadas de confianza.
3. Si hay un WAF (firewall de aplicaciones web) delante de FortiMail, bloquear las peticiones POST que Fortinet describe en el aviso.

Esto reduce el riesgo de aquí en adelante, pero no deshace una intrusión que ya ocurrió.

Comprueba si hubo intrusión antes de actualizar

Este es el paso que muchos equipos se saltan. La actualización corrige la falla, pero no elimina archivos, cuentas ni tareas programadas que un atacante haya creado. Por eso el orden recomendado es: mitigar → investigar → actualizar.

Fortinet publicó indicadores de compromiso en el propio aviso: dos direcciones IP de origen y patrones de registro que buscar. No reproducimos los indicadores aquí: usa siempre la versión más reciente del aviso oficial. En términos generales, las señales descritas incluyen:

• tareas programadas (cron) ejecutadas como root que no reconoces;
• registros de cierre de sesión del administrador con origen "(null)";
• una cuenta de archivo ("archive account") configurada para enviar copias a un servidor remoto desconocido;
• errores de decodificación en los registros de cifrado e intentos fallidos de inicio de sesión de usuarios internos.

La cuenta de archivo es lo más grave para la mayoría de las empresas. Un gateway de correo ve todos los mensajes; una regla de archivo maliciosa significa un robo de correos silencioso y continuo. Según ThreatFrontier, la versión original del aviso también enumeraba archivos del sistema añadidos o modificados (con hashes), lista que después se retiró de la página.

Si encuentras cualquier indicio:

• trata el equipo como comprometido;
• conserva registros y disco antes de tocar nada;
• reconstruye desde una imagen limpia en lugar de solo borrar archivos sospechosos;
• cambia las contraseñas de administrador y cualquier clave o certificado guardado en el equipo;
• asume que los correos archivados pueden haber sido leídos y evalúa tus obligaciones de notificación.

Por qué importa a las pymes

Los gateways de correo, las VPN y los equipos perimetrales se han convertido en objetivo favorito porque están expuestos a internet, tienen acceso privilegiado y rara vez se vigilan como un servidor normal. Vimos el mismo patrón hace poco con SonicWall SMA1000. En Japón, las alertas de JPCERT/CC e IPA sobre la ola de filtraciones también sitúan "vulnerabilidades conocidas en equipos expuestos" entre lo primero que hay que revisar.

En empresas pequeñas, el riesgo suele estar en tres sitios: el equipo que "instaló un proveedor" y del que nadie se acuerda; la rama antigua (7.2 o 7.0) que nadie quiere migrar; y la falta de alguien que mire los registros. Un FortiMail comprometido también puede usarse para enviar phishing que parece legítimo, ya que sale del servidor oficial de la empresa.

Lista rápida

• Haz inventario de todos los FortiMail de la empresa, incluidas sucursales, DMZ y entornos de prueba, con la versión de cada uno.
• Si alguno tiene una versión afectada, aplica la mitigación (desactivar IBE o cerrar el webmail) hoy.
• Busca en los registros los indicadores del aviso oficial y revisa todas las reglas de archivo y reenvío.
• Sin indicios: actualiza a 8.0.2, 7.6.7 o 7.4.9 (o superior).
• Con indicios: aísla, conserva evidencias, reconstruye y cambia credenciales.
• En 7.2 (o 7.0): programa la migración a 7.4.9+ y mantén la mitigación hasta entonces.
• ¿Usas FortiMail Cloud? Confírmalo con tu proveedor o partner, aunque Fortinet dice que no hace falta nada.

Lo que aún no se sabe

Fortinet no ha revelado el número de víctimas, el origen de los ataques ni detalles técnicos de la petición maliciosa, y no hay motivo para buscarlos: lo que importa al defensor es la versión, la mitigación y la investigación. Seguiremos las actualizaciones del aviso y del catálogo KEV y actualizaremos este artículo si hay cambios relevantes.

Fuentes

• Fortinet PSIRT: FG-IR-26-175 — FortiMail (CVE-2026-104286)
• CISA: Known Exploited Vulnerabilities Catalog (CVE-2026-104286)
• NVD: CVE-2026-104286
• Help Net Security: Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)
• CIS / MS-ISAC Advisory 2026-108: A Vulnerability in Fortinet FortiMail Could Allow for Arbitrary Code Execution
• ThreatFrontier: Exploited FortiMail Flaw Now Patched — Check for Compromise First

---

¿Quieres llevar esto a tu negocio?

KGA IT ayuda a pequeñas y medianas empresas a implementar asistentes de IA, automatizaciones y sitios web. La consulta es gratuita y respondemos en menos de 24 horas. Planes desde ¥5.000/mes.

• Teléfono: 080-9732-1062
• Correo: kga-it@outlook.com
• Página de contacto: kga-it.com/es/contact