🚨 FortiMail CVE-2026-104286: Zero-day без патча, запись файлов без авторизации. Дедлайн CISA — сегодня

Коллеги, воскресенье, но если в вашем контуре почтовый поток или фильтрация завязаны на Fortinet FortiMail — бросайте текущие дела. В активной эксплуатации критический zero-day, официального патча на данный момент нет.

📌 ФАКТЫ
Уязвимость: CVE-2026-104286, оценка CVSS 9.8 (Critical). Вектор: Path Traversal с обходом проверок через NULL-байт (%00) в модуле IBE (Identity-Based Encryption).

Механика атаки: специально сформированный неаутентифицированный HTTP/HTTPS-запрос приводит к записи произвольных файлов в файловую систему с последующим выполнением кода с правами root.

Под ударом ветки: 7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6, 8.0.0–8.0.1.

Статус исправления: релизы 7.4.9, 7.6.7 и 8.0.2 ещё в разработке. Ветка 7.2 официального фикса не получит вовсе — вендор требует миграции на 7.4+.

Внесено в каталог CISA KEV 1 октября; жесткий срок реализации компенсационных мер и аудита — сегодня, 4 октября.

⚠️ ИНДИКАТОРЫ КОМПРОМЕТАЦИИ (IoC от Fortinet / Truesec)
Атакующие закрепляются на уровне системных библиотек Linux-ядра прошивки:

Plaintext

Созданные файлы:  /data/lib/liblog.so
                  /data/bin/webconsole
                  /data/etc/ld.so.preload
Модифицирован:    /bin/smit
Вредоносные IP:   79.141.169.187
                  45.129.0.192

Опасность: связка

ld.so.preload

+ инжектируемая библиотека

.so

гарантирует перехват системных вызовов каждым процессом в ОС. Закрепление наглухо переживает штатные ребуты устройства.

🛠 СРОЧНЫЕ ДЕЙСТВИЯ (CLI FortiMail)
Bash

# 1. Проверяем текущий билд
get system status

# 2. Включаем официальный Workaround: тушим IBE
config system encryption ibe
    set status disable
end

# 3. Ревизия открытых портов управления на внешних интерфейсах
show system interface

Аудит сетевого периметра (логи шлюзов / пограничных NGFW):

Bash

# Ищем следы контактов с известной инфраструктурой атаки
grep -E '79\.141\.169\.187|45\.129\.0\.192' /var/log/firewall/*.log

💡 В ЧЁМ СУТЬ

Почтовый ретранслятор обязан принимать SMTP-трафик снаружи (порты 25/587). Однако веб-интерфейс шифрования IBE и панель администрирования часто выставляются в интернет автоматически вместе с интерфейсом приёма почты.

Если IBE не используется в рабочих регламентах компании — отключите модуль немедленно.

Если функционал шифрованных писем необходим внешним адресатам — заворачивайте его строго за WAF / Reverse Proxy с белыми списками и жесткой валидацией URL.

Важно: хост с внедрённым

ld.so.preload

бессмысленно просто обновлять после выхода патча. Устройство подлежит полному вайпу, накату чистого образа «с нуля» и перевыпуску всех ключей и секретов.

🛡 ПЛАН РАБОТ НА СЕГОДНЯ
Немедленная митигация: отключить модуль IBE через CLI либо закрыть входящий доступ по TCP/443 и TCP/80 на внешних портах шлюза.

Форензика и сверка IoC: при малейших признаках аномального трафика или наличии указанных IP в логах — заводить P1-тикет в Fortinet TAC с полным дампом системы (debug system export).

План апгрейда: если шлюз на ветке 7.2.x, незамедлительно запланировать переход на 7.4.x.

Пост-патч регламент: сразу после релиза сборок 7.4.9 / 7.6.7 / 8.0.2 накатить обновления, провести принудительную ротацию паролей администраторов, сервисной учетной записи LDAP-bind и закрытых TLS-ключей.

#alert #fortinet #fortimail #mail #security #zeroday #cve #kev #sysadmin #admin_future