CISA añadió una vulnerabilidad crítica (CVE-2026-104286) de FortiMail a su catálogo de fallos explotados activamente. Este error permite a atacantes no autenticados escribir archivos arbitrarios en el sistema mediante solicitudes HTTP/HTTPS. Fortinet recomienda actualizar el software o aplicar medidas de mitigación urgentes para evitar intrusiones.






La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA), el jueves, añadió un fallo de seguridad crítico que afecta a Fortinet FortiMail a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV Known Exploited Vulnerabilities), tras informes de explotación activa.

La vulnerabilidad, identificada como CVE-2026-104286 (puntuación CVSS: 9.8), permite que atacantes no autenticados escriban archivos arbitrarios en el sistema subyacente.

"Una limitación inadecuada de una ruta de acceso a un directorio restringido ('path traversal') [CWE-22] y una neutralización inadecuada de bytes NULL o caracteres NULL [CWE-158] pueden permitir que un atacante no autenticado escriba archivos arbitrarios en el sistema subyacente a través de solicitudes HTTP o HTTPS diseñadas", afirmó Fortinet en un aviso.

La vulnerabilidad afecta a las siguientes versiones -

• * FortiMail 8.0.0 hasta 8.0.1 (Actualiza a la próxima 8.0.2 o superior)
• * FortiMail 7.6.0 hasta 7.6.6 (Actualiza a la próxima 7.6.7 o superior)
• * FortiMail 7.4.0 hasta 7.4.8 (Actualiza a la próxima 7.4.9 o superior)
• * FortiMail 7.2.0 hasta 7.2.9 (Actualiza a la rama 7.4 o superior)

Fortinet ha reconocido que la vulnerabilidad ha sido explotada en entornos reales, instando a los clientes a aplicar las siguientes soluciones temporales hasta que las correcciones estén disponibles para ciertas versiones -

* Desactiva el soporte de la función IBE usando el siguiente comando CLI:

config system encryption ibe
set status disable
end

* Desactiva el acceso a la interfaz de gestión de FortiMail desde internet o restringe el acceso únicamente a redes privadas confiables.

Fortinet acreditó a Gwendal Guégniaud, del equipo de Seguridad de Productos de Fortinet, el descubrimiento y reporte del fallo. Ha compartido los siguientes indicadores de compromiso -

* Direcciones IP -
* 79.141.169[.]187
* 45.129.0[.]192
* Archivos -
* /data/lib/liblog.so (añadido)
* /data/bin/webconsole (añadido)
* /data/bin/mailservice (añadido)
* /data/etc/ld.so.preload (añadido)
* /bin/smit (modificado)
* /data/etc/httpd.conf (modificado)
* /data/migadmin.tar.gz (modificado)

Ante la explotación activa, se recomienda a las agencias de la Rama Ejecutiva Civil Federal (FCEB) que apliquen el parche o las soluciones temporales antes del 4 de octubre de 2026.

Este avance ocurre mientras que una serie de fallos de seguridad en Check Point (CVE-2026-85102 y CVE-2026-93616), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP Access Policy Manager (CVE-2026-94127), Cisco Catalyst SD-WAN Manager (CVE-2026-76504) y Citrix NetScaler ADC y NetScaler Gateway (CVE-2026-88771 y CVE-2026-88772) han sido objeto de explotación activa.

Fuente:
THN