Fortinet cảnh báo lỗ hổng zero-day FortiMail đang bị khai thác
"Fortinet warned that attackers are actively exploiting a critical FortiMail zero-day, tracked as CVE-2026-104286, which allows unauthenticated file writes via path traversal and improper null-character handling in the web interface. The issue affects multiple FortiMail branches, has a CVSS score of 9.8, and can lead to code execution or command execution; Fortinet has published indicators of compromise, while some fixes are still listed as upcoming and mitigations include restricting management access and disabling Identity Based Encryption if not needed."
Rủi ro rất cao do đang bị khai thác ngoài thực tế, có thể dẫn đến ghi tệp trái phép và thực thi mã/lệnh trên FortiMail. Tổ chức dùng các phiên bản bị ảnh hưởng cần ưu tiên rà soát IOC và siết truy cập quản trị ngay.
Có thể gây gián đoạn dịch vụ email bảo mật, phát sinh điều tra sự cố và rủi ro lộ lọt dữ liệu. Các đội vận hành nên chuẩn bị biện pháp tạm thời khi bản vá chưa sẵn sàng cho mọi nhánh.
Fortinet cho biết kẻ tấn công đang khai thác thực tế một lỗ hổng zero-day nghiêm trọng trong FortiMail, được theo dõi là CVE-2026-104286 và có CVSS 9.8. Lỗi này kết hợp path traversal với xử lý null character không đúng trong giao diện web, cho phép kẻ tấn công không cần xác thực ghi tệp tùy ý lên hệ thống thông qua các yêu cầu HTTP/HTTPS được tạo đặc biệt. Trong một số trường hợp, việc ghi tệp vào vị trí phù hợp có thể dẫn đến thực thi mã hoặc thực thi lệnh trên thiết bị.
Lỗ hổng ảnh hưởng đến nhiều nhánh FortiMail gồm 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 và 7.2.0–7.2.9. Fortinet đã công bố indicator of compromise để quản trị viên rà soát dấu hiệu xâm nhập, bao gồm tệp đáng ngờ, thay đổi cấu hình và một số IP liên quan đến chiến dịch tấn công. CISA cũng đã đưa CVE-2026-104286 vào danh mục Known Exploited Vulnerabilities.
Trong khi một số bản vá vẫn được ghi là upcoming, khuyến nghị hiện tại là tắt Identity Based Encryption nếu không cần dùng, đồng thời không để giao diện quản trị FortiMail lộ ra Internet và chỉ cho phép truy cập từ mạng nội bộ đáng tin cậy. Quản trị viên cũng cần kiểm tra dấu hiệu tồn tại hậu khai thác, vì áp dụng biện pháp giảm thiểu không xóa được các tệp hay cơ chế bám trụ đã bị cài đặt.