Lỗ hổng FortiMail bị khai thác, cho phép ghi tệp trái phép
"CISA added a Fortinet FortiMail zero-day, tracked as CVE-2026-104286 with a CVSS score of 9.8, to its Known Exploited Vulnerabilities catalog after reports of active exploitation. The flaw allows unauthenticated attackers to write arbitrary files via crafted HTTP/HTTPS requests due to path traversal and NULL byte handling issues; Fortinet advised upgrading affected FortiMail versions or temporarily disabling IBE and restricting management access."
Rủi ro rất cao do lỗ hổng không cần xác thực và đã bị khai thác thực tế; có thể dẫn đến ghi tệp trái phép và tạo tiền đề cho xâm nhập sâu hơn.
Có thể ảnh hưởng đến dịch vụ email doanh nghiệp, gây gián đoạn vận hành và tăng chi phí ứng phó sự cố; cần ưu tiên vá lỗi và giới hạn truy cập quản trị.
CISA đã bổ sung một lỗ hổng nghiêm trọng trong Fortinet FortiMail vào danh mục Known Exploited Vulnerabilities (KEV) sau khi ghi nhận khai thác đang diễn ra. Lỗ hổng được theo dõi là CVE-2026-104286, có điểm CVSS 9.8, cho phép kẻ tấn công không cần xác thực ghi tệp tùy ý lên hệ thống thông qua các yêu cầu HTTP/HTTPS được tạo đặc biệt.
Theo Fortinet, nguyên nhân liên quan đến path traversal và xử lý NULL byte không đúng. Các phiên bản bị ảnh hưởng gồm FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 và 7.2.0–7.2.9. Hãng khuyến nghị nâng cấp lên các bản vá tương ứng, hoặc áp dụng biện pháp tạm thời như tắt tính năng IBE và hạn chế truy cập giao diện quản trị chỉ từ mạng nội bộ tin cậy.
Fortinet cũng công bố một số IOC liên quan, gồm các địa chỉ IP 79.141.169[.]187 và 45.129.0[.]192, cùng nhiều tệp bị thêm hoặc sửa đổi như /data/lib/liblog.so và /data/etc/ld.so.preload. Với môi trường doanh nghiệp, cần ưu tiên kiểm tra phiên bản, áp dụng bản vá sớm, và rà soát dấu hiệu xâm nhập trên máy chủ thư điện tử.