CSA relata exploração ativa de falha crítica já corrigida no FortiMail
A CSA de Cingapura alerta que a falha crítica CVE-2026-104286 do FortiMail, com CVSS 9,8, está sendo ativamente explorada, segundo relatos. Trata-se de um path traversal que permite a atacante não autenticado gravar arquivos no sistema via requisições HTTP ou HTTPS. A Fortinet já lançou correções (8.0.2+, 7.6.7+, 7.4.9+); atualize e verifique os IOCs.
O que aconteceu
A CSA de Cingapura alertou que atacantes exploram ativamente uma falha crítica no FortiMail, produto de segurança de e-mail da Fortinet. A falha permite gravar arquivos no servidor sem autenticação. A Fortinet já liberou correção para as versões atuais.
Por que importa
E-mail é canal central de comunicação e de ataques; um FortiMail comprometido pode parar o serviço de mensagens e expor o servidor. A falha tem nota 9,8 de 10 e a exploração foi relatada pela CSA, então sistemas sem atualização estão em risco imediato.
O que fazer
Atualize imediatamente para FortiMail 8.0.2 ou posterior, 7.6.7 ou posterior, ou 7.4.9 ou posterior; instalações 7.2.x exigem migração. Aplique as soluções alternativas da Fortinet enquanto atualiza e verifique os indicadores de comprometimento do aviso FG-IR-26-175.
Para o time técnico
- CVE
- CVE-2026-104286
- Afetados
- Fortinet FortiMail · FortiMail 7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6 e 8.0.0–8.0.1 (Fortinet); a CSA lista 7.2.0 a 7.4.8, 7.6.0 a 7.6.6 e 8.0.0 a 8.0.1 e remete à lista completa no aviso do fabricante.
- Exploração
- Exploração ativa relatada pela CSA de Cingapura no alerta AL-2026-133, de 6 de outubro de 2026. A CSA cita como referência o catálogo KEV da CISA para a CVE-2026-104286.
- Correção
- FortiMail 8.0.2 ou posterior, 7.6.7 ou posterior, 7.4.9 ou posterior; instalações 7.2.x devem migrar para 7.4.9 ou superior. Fortinet publica soluções alternativas no aviso FG-IR-26-175.
- Vetor
- Path traversal (limitação incorreta de caminho a diretório restrito) no FortiMail; atacante não autenticado grava arquivos arbitrários no sistema subjacente via requisições HTTP ou HTTPS forjadas (CSA).
- Mais detalhes
- CVSS v3.1 9,8 (CSA). Aviso Fortinet FG-IR-26-175; metadados da fonte registram início em 2026-09-30. A CSA recomenda aplicar as soluções alternativas, atualizar e varrer as implantações do FortiMail em busca de IOCs, disponíveis na página do PSIRT da Fortinet.
Linha do tempo
Incidente aberto.
Fontes 2 fontes
- Fortinet PSIRT FG-IR-26-175 Fortinet
- CSA Singapore alert CSA
