Sinds 1 oktober heeft FortiMail een kritiek lek dat actief wordt misbruikt, en de firmware met een fix is er nog niet. Advisory FG-IR-26-175 beschrijft CVE-2026-104286, een combinatie van path traversal (CWE-22) en het niet neutraliseren van NULL-bytes (CWE-158).
Een niet-geauthenticeerde aanvaller kan via crafted HTTP- of HTTPS-requests willekeurige bestanden op het onderliggende systeem schrijven. Fortinet classificeert de impact als het uitvoeren van ongeautoriseerde code of commando’s, met een CVSSv3-score van 9.8.
Het IBE-endpoint als ingang
De advisory noemt de GUI als component, maar de workaround laat zien welk pad het is. Fortinet adviseert om op een WAF POST-requests naar /ibe te blokkeren die ../ bevatten. Kwetsbaar is dus de Identity Based Encryption-service op de webmail-interface, het portal waar externe ontvangers versleutelde berichten ophalen. Wie IBE actief gebruikt, heeft dat pad vrijwel altijd open staan naar internet.
Getroffen FortiMail-versies
| Branch | Kwetsbaar | Oplossing |
|---|---|---|
| FortiMail 8.0 | 8.0.0 tot en met 8.0.1 | Nog te verschijnen 8.0.2 of hoger |
| FortiMail 7.6 | 7.6.0 tot en met 7.6.6 | Nog te verschijnen 7.6.7 of hoger |
| FortiMail 7.4 | 7.4.0 tot en met 7.4.8 | Nog te verschijnen 7.4.9 of hoger |
| FortiMail 7.2 | 7.2.0 tot en met 7.2.9 | Migreren naar 7.4 of hoger |
Voor 7.2 wordt geen fix uitgebracht. Dat betekent een major upgrade midden in een actieve campagne.
Workaround voor CVE-2026-104286 zolang er geen patch is
De primaire mitigatie is IBE uitschakelen, in de GUI via Encryption, IBE en IBE Service op off, of in de CLI met config system encryption ibe, set status disable en end. Kan dat niet, dan noemt Fortinet twee alternatieven. Sluit de webmail-interface af voor internet of beperk die tot een vertrouwd privénetwerk. Of blokkeer op een WAF voor de FortiMail de POST-requests naar /ibe met ../ erin. Let op dat het hier om de webmail-interface gaat, een management-interface achter een apart VLAN beschermt je niet. Een WAF-regel op ../ heeft alleen zin als de WAF eerst decodeert en normaliseert. In de advisory staat bij Virtual Patch gewoon No.
Welke IoC’s publiceert Fortinet voor FortiMail?
Fortinet noemt twee IP-adressen, 79.141.169[.]187 en 45.129.0[.]192. In het systeem-eventlog staat een cron-regel die als root een shell-commando uitvoert met O=/migadmin, gevolgd door een admin-logout vanaf (null). Het meest opvallende logitem is een via de CLI toegevoegd archive account archive234, met destination remote naar 79.141.169.187 en remote-directory /uploads. In de encryption-logs staan een Base64-fout in de IBE-decrypter met Character=0x2a en een mislukte login van een interne gebruiker *@domain.tld.
