FortiMail CVE-2026-104286: inaabusong kritikal na kahinaan, may ayos na — suriin muna kung napasok bago mag-update

Kung gumagamit ang inyong kumpanya ng FortiMail — ang email gateway ng Fortinet na sumasala ng spam, phishing at malware bago makarating ang mga mensahe sa inbox — ito ang uri ng alerto na hindi puwedeng ipagpaliban sa susunod na maintenance window. Ang kahinaang CVE-2026-104286, na may CVSS 9.8, ay nagpapahintulot sa sinuman na walang login na magsulat ng anumang file sa appliance, at kinumpirma mismo ng Fortinet na inaabuso na ito.

Ang magandang balita, may mga naayos na bersyon na mula Oktubre 5. Ang hindi gaanong magandang balita, hindi sapat ang mag-update: kung napasok na ang appliance bago ang patch, nandoon pa rin ang iniwan ng umaatake. Narito ang alam natin, sino ang apektado at ang tamang pagkakasunod-sunod ng gagawin.

Ano ang kahinaan

Ayon sa advisory na FG-IR-26-175, na inilathala noong Oktubre 1, 2026, kombinasyon ito ng dalawang kahinaan: path traversal (CWE-22) at maling paghawak sa NULL byte (CWE-158). Sa praktika, ang mga manipuladong HTTP o HTTPS request ay nakapagsusulat ng file sa labas ng direktoryong dapat lang sinusulatan ng web service. Ini-rate ng Fortinet ang epekto bilang "pagpapatakbo ng hindi awtorisadong code o command" at minarkahan itong kilalang inaabuso.

Ang bulnerableng bahagi ay konektado sa IBE (Identity Based Encryption), ang feature ng FortiMail na nagpapahintulot sa mga tatanggap sa labas ng kumpanya na buksan ang naka-encrypt na email sa pamamagitan ng web portal. Dahil gumagana lang ang IBE kung naaabot ang portal mula sa internet, maraming appliance ang nakalantad ayon mismo sa disenyo.

Natuklasan ang kahinaan sa loob ng Fortinet ni Gwendal Guégniaud ng Product Security team. Hindi sinabi ng Fortinet kung sino ang nasa likod ng mga atake, kailan ito nagsimula o ilang customer ang tinamaan.

Idinagdag ng ahensiyang CISA ng US ang CVE sa KEV catalog (mga kilalang inaabusong kahinaan) noong araw ding iyon, na may deadline na Oktubre 4 para sa mga pederal na ahensiya, at minarkahan itong nangangailangan ng forensic triage sa ilalim ng direktibang BOD 26-04 — ibig sabihin, hindi sapat ang mag-patch; kailangang suriin kung napasok kayo. Tinalakay na namin ang direktibang ito sa kaso ng Ivanti Sentry.

Aling mga bersyon ang apektado

Tatlong dapat bantayan:

• Naayos na ng Fortinet ang FortiMail Cloud noong Oktubre 5 (inilipat ang lahat ng firmware sa 7.6.7 o 8.0.2). Walang kailangang gawin ang mga cloud customer.
• Hindi bibigyan ng ayos ang branch 7.2. Kailangang magplano ng paglipat sa 7.4.9 o mas bago ang mga nasa 7.2 — at bulnerable rin ang mga 7.4 build bago ang 7.4.9.
• Napansin ng ThreatFrontier na ang record na isinumite ng Fortinet sa NVD ay naglilista rin ng FortiMail 7.0.0 hanggang 7.0.9, kahit hindi binanggit ng talahanayan ng advisory ang 7.0. Kung 7.0 pa rin ang gamit ninyo, ituring na nakalantad ang appliance.

Kung hindi pa makapag-update: ang opisyal na mitigation

Habang hindi pa nakakapag-update, nagbigay ang Fortinet ng tatlong opsyon, mula sa pinakamalakas hanggang sa pinakalimitado:

1. I-off ang IBE kung kaya ng kumpanya nang wala ito: sa GUI, sa Encryption → IBE → IBE Service, itakda sa "off". Sa CLI, ibinibigay ng advisory ang block na config system encryption ibe / set status disable / end.
2. Alisin sa internet ang webmail ng FortiMail, o payagan lang ang access mula sa mga pinagkakatiwalaang private network.
3. Kung may WAF (web application firewall) sa harap ng FortiMail, harangin ang mga POST request na inilarawan ng Fortinet sa advisory.

Binabawasan nito ang panganib mula ngayon, pero hindi nito binabawi ang pagpasok na nangyari na.

Suriin kung napasok bago mag-update

Ito ang hakbang na madalas nilalaktawan. Inaayos ng update ang kahinaan, pero hindi nito tinatanggal ang mga file, account o naka-iskedyul na gawain na maaaring ginawa ng umaatake. Kaya ang inirerekomendang pagkakasunod-sunod ay: mitigate → imbestigahan → i-update.

Naglathala ang Fortinet ng mga indicator of compromise (IoC) sa mismong advisory: dalawang source IP address at mga pattern ng log na hahanapin. Hindi namin kinokopya ang mga indicator dito — laging gamitin ang pinakabagong bersyon ng opisyal na advisory. Sa pangkalahatan, kabilang sa mga palatandaan ang:

• mga naka-iskedyul na gawain (cron) na tumatakbo bilang root na hindi ninyo kilala;
• mga record ng pag-logout ng administrator mula sa source na "(null)";
• isang archive account na naka-configure na magpadala ng kopya sa hindi kilalang remote server;
• mga decoding error sa encryption log at mga bigong login ng mga internal user.

Ang archive account ang pinakaseryoso para sa karamihan ng kumpanya. Nakikita ng email gateway ang bawat mensahe; ang isang malisyosong archive rule ay nangangahulugan ng tahimik at tuloy-tuloy na pagnanakaw ng email. Ayon sa ThreatFrontier, ang orihinal na bersyon ng advisory ay naglista rin ng mga idinagdag o binagong system file (na may hash), listahang inalis kalaunan sa pahina.

Kung may makitang anumang palatandaan:

• ituring na kompromisado ang appliance;
• ingatan ang log at disk bago galawin ang anuman;
• buuin muli mula sa malinis na image sa halip na burahin lang ang mga kahina-hinalang file;
• palitan ang password ng administrator at anumang key o certificate na nakaimbak sa device;
• ipagpalagay na maaaring nabasa na ang mga naka-archive na email at suriin ang inyong obligasyon sa pag-abiso.

Bakit mahalaga ito sa mga SMB

Naging paboritong target ang mga email gateway, VPN at edge appliance dahil nakaharap ang mga ito sa internet, may pribilehiyadong access at bihirang bantayan tulad ng karaniwang server. Nakita natin ang parehong pattern kamakailan sa SonicWall SMA1000. Sa Japan, inilagay din ng mga alerto ng JPCERT/CC at IPA tungkol sa alon ng data breach ang "kilalang kahinaan sa nakalantad na kagamitan" sa mga unang dapat suriin.

Sa maliliit na kumpanya, kadalasang nasa tatlong lugar ang panganib: ang appliance na "ikinabit ng vendor" at wala nang nakakaalala; ang lumang branch (7.2 o 7.0) na ayaw ilipat ng sinuman; at ang kawalan ng taong nagbabantay sa log. Ang kompromisadong FortiMail ay maaari ring gamitin sa pagpapadala ng phishing na mukhang lehitimo, dahil galing ito sa opisyal na server ng kumpanya.

Mabilis na checklist

• Ilista ang lahat ng FortiMail sa kumpanya, kasama ang mga sangay, DMZ at test environment, at ang bersyon ng bawat isa.
• Kung may apektadong bersyon, ilapat ang mitigation (i-off ang IBE o isara ang webmail) ngayong araw.
• Hanapin sa log ang mga indicator ng opisyal na advisory at suriin ang lahat ng archive at forwarding rule.
• Walang palatandaan: mag-update sa 8.0.2, 7.6.7 o 7.4.9 (o mas bago).
• May palatandaan: ihiwalay, ingatan ang ebidensiya, buuin muli at palitan ang mga credential.
• Nasa 7.2 (o 7.0): iiskedyul ang paglipat sa 7.4.9+ at panatilihin ang mitigation hanggang doon.
• Gumagamit ng FortiMail Cloud? Kumpirmahin sa inyong provider o partner, pero sabi ng Fortinet ay walang kailangang gawin.

Ang hindi pa alam

Hindi pa isinisiwalat ng Fortinet ang bilang ng biktima, ang pinagmulan ng mga atake o ang teknikal na detalye ng malisyosong request — at walang dahilan para hanapin ang mga iyon: ang mahalaga sa mga tagapagtanggol ay ang bersyon, ang mitigation at ang imbestigasyon. Susubaybayan namin ang mga update sa advisory at sa KEV catalog at ia-update ang artikulong ito kung may mahalagang pagbabago.

Mga Sanggunian

• Fortinet PSIRT: FG-IR-26-175 — FortiMail (CVE-2026-104286)
• CISA: Known Exploited Vulnerabilities Catalog (CVE-2026-104286)
• NVD: CVE-2026-104286
• Help Net Security: Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)
• CIS / MS-ISAC Advisory 2026-108: A Vulnerability in Fortinet FortiMail Could Allow for Arbitrary Code Execution
• ThreatFrontier: Exploited FortiMail Flaw Now Patched — Check for Compromise First

---

Gusto mo ba ito para sa iyong negosyo?

Tinutulungan ng KGA IT ang maliliit at katamtamang negosyo na mag-set up ng mga AI assistant, automation at website. Libre ang konsultasyon at sasagot kami sa loob ng 24 oras. Ang mga plano ay nagsisimula sa ¥5,000/buwan.

• Telepono: 080-9732-1062
• Email: kga-it@outlook.com
• Pahina ng contact: kga-it.com/fil/contact