FortiMail CVE-2026-104286: falha crítica já explorada tem correção — verifique invasão antes de atualizar

Se a sua empresa usa um FortiMail — o gateway de e-mail da Fortinet que filtra spam, phishing e malware antes de as mensagens chegarem às caixas de entrada —, este é um daqueles avisos que não dá para deixar para a próxima janela de manutenção. A falha CVE-2026-104286, com nota CVSS 9.8, permite que alguém sem login grave arquivos arbitrários no aparelho, e a própria Fortinet confirma que ela já está sendo explorada.

A notícia boa é que, desde 5 de outubro, existem versões corrigidas. A notícia menos boa é que atualizar não basta: se o equipamento foi invadido antes do patch, o que o atacante deixou lá dentro continua lá. Abaixo, o que se sabe, quem está afetado e a ordem certa de fazer as coisas.

O que é a falha

Segundo o aviso FG-IR-26-175, publicado em 1º de outubro de 2026, trata-se de uma combinação de duas fraquezas: path traversal (CWE-22) e tratamento incorreto de byte nulo (CWE-158). Na prática, requisições HTTP ou HTTPS manipuladas conseguem escrever arquivos fora do diretório onde o serviço web deveria escrever. A Fortinet classifica o impacto como "execução de código ou comandos não autorizados" e marca o problema como conhecido por ser explorado.

O componente vulnerável fica ligado ao IBE (Identity Based Encryption), o recurso do FortiMail que permite a destinatários de fora da empresa abrir e-mails criptografados por um portal web. Como o IBE só funciona se esse portal estiver acessível pela internet, muitos aparelhos estão expostos por definição.

A falha foi descoberta internamente por Gwendal Guégniaud, da equipe de segurança de produto da Fortinet. A empresa não informou quem está por trás dos ataques, quando começaram nem quantos clientes foram atingidos.

A agência americana CISA incluiu a CVE no catálogo KEV (vulnerabilidades exploradas conhecidas) no mesmo dia, com prazo de 4 de outubro para órgãos federais, e marcou a entrada como exigindo triagem forense pela diretiva BOD 26-04 — ou seja, não basta corrigir, é preciso verificar se houve invasão. Já falamos dessa diretiva no caso do Ivanti Sentry.

Quais versões estão afetadas

Três pontos de atenção:

• FortiMail Cloud já foi corrigido pela Fortinet em 5 de outubro (todos os firmwares passaram para 7.6.7 ou 8.0.2). Clientes da versão em nuvem não precisam fazer nada.
• O ramo 7.2 não vai receber correção. Quem está nele precisa planejar a migração para 7.4.9 ou posterior — e as versões 7.4 anteriores à 7.4.9 também são vulneráveis.
• O portal ThreatFrontier observou que o registro enviado pela Fortinet ao NVD inclui também FortiMail 7.0.0 a 7.0.9, embora a tabela do aviso não cite o ramo 7.0. Se você ainda roda 7.0, trate o aparelho como exposto.

Se ainda não dá para atualizar: a mitigação oficial

Enquanto a atualização não acontece, a Fortinet indica três caminhos, do mais forte ao mais limitado:

1. Desligar o IBE, se a empresa puder viver sem ele: na interface, em Encryption → IBE → IBE Service, mudar para "off". Pela linha de comando, o aviso traz o bloco config system encryption ibe / set status disable / end.
2. Tirar o webmail do FortiMail da internet, ou liberar acesso só a partir de redes privadas confiáveis.
3. Se houver um WAF (firewall de aplicação web) na frente do FortiMail, bloquear as requisições POST que a Fortinet descreve no aviso.

Isso reduz o risco daqui para frente, mas não desfaz uma invasão que já aconteceu.

Verifique se houve invasão antes de atualizar

Esse é o ponto que muitos times pulam. A atualização corrige a falha, mas não remove arquivos, contas ou tarefas agendadas que um atacante tenha criado. Por isso, a ordem recomendada é: mitigar → investigar → atualizar.

A Fortinet publicou indicadores de comprometimento no próprio aviso: dois endereços IP de origem e padrões de log a procurar. Não reproduzimos os indicadores aqui — use sempre a versão mais recente do aviso oficial. Em termos gerais, os sinais descritos incluem:

• tarefas agendadas (cron) executadas como root que você não reconhece;
• registros de logout do administrador vindos de origem "(null)";
• uma conta de arquivamento ("archive account") configurada para enviar cópias para um servidor remoto desconhecido;
• erros de decodificação nos logs de criptografia e tentativas de login de usuários internos que falharam.

O item da conta de arquivamento é o mais grave para a maioria das empresas. Um gateway de e-mail vê todas as mensagens; uma regra de arquivamento maliciosa significa roubo silencioso e contínuo de e-mails. Segundo o ThreatFrontier, a versão original do aviso também listava arquivos de sistema adicionados ou alterados (com hashes), lista que depois foi retirada da página.

Se encontrar qualquer indício:

• trate o aparelho como comprometido;
• preserve logs e disco antes de mexer;
• reconstrua a partir de uma imagem limpa, em vez de apenas apagar arquivos suspeitos;
• troque as senhas de administrador e quaisquer chaves ou certificados guardados no equipamento;
• assuma que e-mails arquivados podem ter sido lidos e avalie as obrigações de notificação.

Por que isso importa para PMEs

Gateways de e-mail, VPNs e appliances de borda viraram alvo preferido porque ficam expostos à internet, têm acesso privilegiado e raramente recebem monitoramento como um servidor comum. Vimos o mesmo padrão recentemente com a SonicWall SMA1000. No Japão, os alertas do JPCERT/CC e da IPA sobre a onda de vazamentos também colocam "vulnerabilidades conhecidas em equipamentos expostos" entre os primeiros itens a verificar.

Para empresas pequenas, o risco costuma estar em três lugares: o aparelho que "um fornecedor instalou" e ninguém mais lembra; o ramo antigo (7.2 ou 7.0) que ninguém quer migrar; e a falta de alguém olhando os logs. Um FortiMail comprometido também pode ser usado para enviar phishing que parece legítimo, já que sai do servidor oficial da empresa.

Checklist rápido

• Liste todos os FortiMail da empresa, inclusive de filiais, DMZ e ambientes de teste, com a versão de cada um.
• Se algum estiver em versão afetada, aplique a mitigação (desligar IBE ou fechar o webmail) hoje.
• Procure os indicadores do aviso oficial nos logs e revise todas as regras de arquivamento e encaminhamento.
• Sem indícios: atualize para 8.0.2, 7.6.7 ou 7.4.9 (ou superior).
• Com indícios: isole, preserve evidências, reconstrua e troque credenciais.
• No ramo 7.2 (ou 7.0): agende a migração para 7.4.9+ e mantenha a mitigação até lá.
• Usa FortiMail Cloud? Confirme com o provedor/parceiro, mas a Fortinet diz que nada é necessário.

O que ainda não se sabe

A Fortinet não divulgou o número de vítimas, a origem dos ataques nem detalhes técnicos da requisição maliciosa — e não há razão para procurá-los: o que interessa ao defensor é a versão, a mitigação e a investigação. Vamos acompanhar atualizações do aviso e do catálogo KEV e atualizar este artigo se houver mudanças relevantes.

Fontes

• Fortinet PSIRT: FG-IR-26-175 — FortiMail (CVE-2026-104286)
• CISA: Known Exploited Vulnerabilities Catalog (CVE-2026-104286)
• NVD: CVE-2026-104286
• Help Net Security: Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)
• CIS / MS-ISAC Advisory 2026-108: A Vulnerability in Fortinet FortiMail Could Allow for Arbitrary Code Execution
• ThreatFrontier: Exploited FortiMail Flaw Now Patched — Check for Compromise First

---

Quer levar isso para o seu negócio?

A KGA IT ajuda pequenas e médias empresas a implantar assistentes de IA, automações e sites. A consulta é gratuita e respondemos em até 24 horas. Planos a partir de ¥5.000/mês.

• Telefone: 080-9732-1062
• E-mail: kga-it@outlook.com
• Página de contato: kga-it.com/pt/contact