FortiMail CVE-2026-104286: lỗ hổng nghiêm trọng đang bị khai thác đã có bản vá — kiểm tra xâm nhập trước khi cập nhật

Nếu công ty bạn đang dùng FortiMail — cổng email của Fortinet, có nhiệm vụ lọc thư rác, lừa đảo (phishing) và mã độc trước khi thư vào hộp thư — thì đây là loại cảnh báo không thể chờ đến đợt bảo trì tiếp theo. Lỗ hổng CVE-2026-104286, điểm CVSS 9.8, cho phép bất kỳ ai không cần đăng nhập ghi tệp tùy ý lên thiết bị, và chính Fortinet xác nhận lỗ hổng đang bị khai thác.

Tin tốt là đã có phiên bản sửa lỗi từ ngày 5/10. Tin chưa tốt là chỉ cập nhật thôi thì chưa đủ: nếu thiết bị đã bị xâm nhập trước khi vá, những gì kẻ tấn công để lại vẫn còn bên trong. Dưới đây là những gì đã biết, ai bị ảnh hưởng và thứ tự xử lý đúng.

Lỗ hổng là gì

Theo khuyến cáo FG-IR-26-175 công bố ngày 1/10/2026, đây là sự kết hợp của hai điểm yếu: path traversal (CWE-22) và xử lý byte NULL không đúng (CWE-158). Trên thực tế, các yêu cầu HTTP hoặc HTTPS được chế tác có thể ghi tệp ra ngoài thư mục mà dịch vụ web lẽ ra chỉ được ghi vào. Fortinet đánh giá tác động là "thực thi mã hoặc lệnh trái phép" và đánh dấu lỗ hổng là đã biết bị khai thác.

Thành phần dễ bị tấn công gắn với IBE (Identity Based Encryption), tính năng của FortiMail cho phép người nhận bên ngoài công ty mở email đã mã hóa qua một cổng web. Vì IBE chỉ hoạt động khi cổng này truy cập được từ internet, nhiều thiết bị bị lộ ra ngoài ngay từ thiết kế.

Lỗ hổng được Gwendal Guégniaud thuộc nhóm bảo mật sản phẩm của Fortinet phát hiện nội bộ. Fortinet chưa cho biết ai đứng sau các cuộc tấn công, chúng bắt đầu từ khi nào hay bao nhiêu khách hàng bị ảnh hưởng.

Cơ quan CISA của Mỹ đã đưa CVE này vào danh mục KEV (lỗ hổng đã biết bị khai thác) ngay trong ngày, với hạn chót 4/10 cho các cơ quan liên bang, và đánh dấu mục này cần phân loại pháp y (forensic triage) theo chỉ thị BOD 26-04 — nghĩa là không chỉ vá mà còn phải kiểm tra xem đã bị xâm nhập hay chưa. Chúng tôi từng nói về chỉ thị này trong trường hợp Ivanti Sentry.

Những phiên bản bị ảnh hưởng

Ba điểm cần lưu ý:

• FortiMail Cloud đã được Fortinet sửa vào ngày 5/10 (toàn bộ firmware chuyển lên 7.6.7 hoặc 8.0.2). Khách hàng dùng bản đám mây không cần làm gì.
• Nhánh 7.2 sẽ không có bản sửa. Ai đang dùng 7.2 cần lên kế hoạch chuyển sang 7.4.9 trở lên — và các bản 7.4 trước 7.4.9 cũng có lỗ hổng.
• Trang ThreatFrontier ghi nhận bản ghi Fortinet gửi lên NVD còn liệt kê FortiMail 7.0.0 đến 7.0.9, dù bảng trong khuyến cáo không nhắc đến nhánh 7.0. Nếu bạn vẫn dùng 7.0, hãy coi thiết bị là đang bị lộ.

Nếu chưa thể cập nhật: biện pháp giảm thiểu chính thức

Trong lúc chưa cập nhật, Fortinet đưa ra ba cách, từ mạnh nhất đến hạn chế nhất:

1. Tắt IBE nếu công ty có thể hoạt động mà không cần nó: trong giao diện, vào Encryption → IBE → IBE Service và đặt thành "off". Với dòng lệnh, khuyến cáo có khối lệnh config system encryption ibe / set status disable / end.
2. Đưa webmail của FortiMail ra khỏi internet, hoặc chỉ cho phép truy cập từ các mạng riêng đáng tin cậy.
3. Nếu có WAF (tường lửa ứng dụng web) đặt trước FortiMail, hãy chặn các yêu cầu POST mà Fortinet mô tả trong khuyến cáo.

Các bước này giảm rủi ro từ nay về sau, nhưng không xóa được cuộc xâm nhập đã xảy ra.

Kiểm tra xâm nhập trước khi cập nhật

Đây là bước nhiều đội bỏ qua. Bản cập nhật sửa lỗ hổng nhưng không xóa tệp, tài khoản hay tác vụ lập lịch mà kẻ tấn công có thể đã tạo. Vì vậy thứ tự khuyến nghị là: giảm thiểu → điều tra → cập nhật.

Fortinet đã công bố các dấu hiệu xâm phạm (IoC) ngay trong khuyến cáo: hai địa chỉ IP nguồn và các mẫu log cần tìm. Chúng tôi không chép lại các dấu hiệu ở đây — hãy luôn dùng phiên bản mới nhất của khuyến cáo chính thức. Nhìn chung, các dấu hiệu được mô tả gồm:

• tác vụ lập lịch (cron) chạy với quyền root mà bạn không nhận ra;
• bản ghi quản trị viên đăng xuất từ nguồn "(null)";
• một tài khoản lưu trữ ("archive account") được cấu hình gửi bản sao tới máy chủ từ xa lạ;
• lỗi giải mã trong log mã hóa và các lần đăng nhập thất bại của người dùng nội bộ.

Tài khoản lưu trữ là điểm nghiêm trọng nhất với hầu hết doanh nghiệp. Cổng email thấy mọi thư; một quy tắc lưu trữ độc hại đồng nghĩa với việc email bị đánh cắp âm thầm và liên tục. Theo ThreatFrontier, phiên bản đầu tiên của khuyến cáo còn liệt kê các tệp hệ thống bị thêm hoặc sửa đổi (kèm mã băm), danh sách này sau đó đã bị gỡ khỏi trang.

Nếu phát hiện bất kỳ dấu hiệu nào:

• coi thiết bị là đã bị xâm phạm;
• lưu giữ log và ổ đĩa trước khi động vào bất cứ thứ gì;
• dựng lại từ một bản image sạch, thay vì chỉ xóa các tệp đáng ngờ;
• đổi mật khẩu quản trị viên cùng mọi khóa hoặc chứng chỉ lưu trên thiết bị;
• giả định rằng email đã lưu trữ có thể đã bị đọc và xem xét nghĩa vụ thông báo.

Vì sao điều này quan trọng với doanh nghiệp nhỏ

Cổng email, VPN và thiết bị biên đã trở thành mục tiêu ưa thích vì chúng hướng ra internet, có quyền truy cập đặc quyền và hiếm khi được giám sát như một máy chủ thông thường. Gần đây chúng ta đã thấy mô hình tương tự với SonicWall SMA1000. Tại Nhật Bản, các cảnh báo của JPCERT/CC và IPA về làn sóng rò rỉ dữ liệu cũng xếp "lỗ hổng đã biết trên thiết bị lộ ra internet" vào nhóm cần kiểm tra đầu tiên.

Với công ty nhỏ, rủi ro thường nằm ở ba chỗ: thiết bị do "nhà cung cấp lắp đặt" mà không ai còn nhớ; nhánh cũ (7.2 hoặc 7.0) không ai muốn chuyển; và việc không có ai theo dõi log. Một FortiMail bị xâm phạm còn có thể bị dùng để gửi email lừa đảo trông như thật, vì thư xuất phát từ máy chủ chính thức của công ty.

Danh sách kiểm tra nhanh

• Liệt kê tất cả FortiMail trong công ty, kể cả chi nhánh, DMZ và môi trường thử nghiệm, cùng phiên bản của từng thiết bị.
• Nếu có thiết bị dùng phiên bản bị ảnh hưởng, áp dụng biện pháp giảm thiểu (tắt IBE hoặc đóng webmail) ngay hôm nay.
• Tìm trong log các dấu hiệu theo khuyến cáo chính thức và rà soát mọi quy tắc lưu trữ, chuyển tiếp.
• Không có dấu hiệu: cập nhật lên 8.0.2, 7.6.7 hoặc 7.4.9 (trở lên).
• Có dấu hiệu: cô lập, lưu giữ bằng chứng, dựng lại và thay đổi thông tin đăng nhập.
• Đang ở 7.2 (hoặc 7.0): lên lịch chuyển sang 7.4.9+ và giữ biện pháp giảm thiểu đến lúc đó.
• Dùng FortiMail Cloud? Hãy xác nhận với nhà cung cấp hoặc đối tác, dù Fortinet cho biết không cần làm gì.

Những điều chưa rõ

Fortinet chưa công bố số nạn nhân, nguồn gốc các cuộc tấn công hay chi tiết kỹ thuật của yêu cầu độc hại — và cũng không cần đi tìm những thứ đó: điều quan trọng với bên phòng thủ là phiên bản, biện pháp giảm thiểu và việc điều tra. Chúng tôi sẽ theo dõi các cập nhật của khuyến cáo và danh mục KEV, và cập nhật bài viết nếu có thay đổi đáng kể.

Nguồn

• Fortinet PSIRT: FG-IR-26-175 — FortiMail (CVE-2026-104286)
• CISA: Known Exploited Vulnerabilities Catalog (CVE-2026-104286)
• NVD: CVE-2026-104286
• Help Net Security: Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)
• CIS / MS-ISAC Advisory 2026-108: A Vulnerability in Fortinet FortiMail Could Allow for Arbitrary Code Execution
• ThreatFrontier: Exploited FortiMail Flaw Now Patched — Check for Compromise First

---

Bạn muốn áp dụng điều này cho doanh nghiệp của mình?

KGA IT hỗ trợ doanh nghiệp vừa và nhỏ triển khai trợ lý AI, tự động hóa và website. Tư vấn miễn phí và chúng tôi phản hồi trong vòng 24 giờ. Gói dịch vụ từ ¥5.000/tháng.

• Điện thoại: 080-9732-1062
• Email: kga-it@outlook.com
• Trang liên hệ: kga-it.com/vi/contact