Критическая уязвимость CVE-2026-104286 в Fortinet FortiMail позволяет записывать произвольные файлы

В продукте Fortinet FortiMail, предназначенном для защиты электронной почты, обнаружена уязвимость критического уровня, получившая идентификатор CVE-2026-104286. Проблема связана с недостаточной ограничением пути к каталогу (path traversal) и позволяет неаутентифицированному злоумышленнику записывать произвольные файлы в нижележащую систему.

Подробности

Уязвимости подвержены следующие версии FortiMail:

• FortiMail 8.0.0 — 8.0.1;
• FortiMail 7.6.0 — 7.6.6;
• FortiMail 7.4.0 — 7.4.8;
• FortiMail 7.2.0 — 7.2.9.

Тип уязвимости — improper limitation of a pathname to a restricted directory («path traversal»). Оценка CVSS составляет 9.8 (CRITICAL), что указывает на максимально высокий риск. Эксплуатация возможна удалённо и не требует аутентификации: атакующий отправляет специально сформированные HTTP или HTTPS-запросы, которые позволяют выйти за пределы разрешённого каталога и записать произвольные файлы в файловую систему устройства. Это может привести к компрометации сервера, нарушению целостности данных и созданию условий для дальнейшего развития атаки.

Что делать

В первую очередь необходимо обновить FortiMail до версий, в которых уязвимость устранена. Рекомендуется свериться с официальным бюллетенем Fortinet и установить актуальные патчи для соответствующей ветки продукта. Если немедленное обновление невозможно, следует рассмотреть временные митигации: ограничить доступ к интерфейсам управления FortiMail по HTTP/HTTPS с помощью сетевых правил и списков разрешённых адресов, не публиковать административные интерфейсы в открытых сетях, а также усилить мониторинг подозрительной активности, связанной с веб-запросами и изменением файлов. Дополнительно стоит проверить журналы на предмет попыток эксплуатации и, при наличии признаков компрометации, провести внеплановый аудит системы. Итог: CVE-2026-104286 — критическая уязвимость в FortiMail, допускающая запись произвольных файлов без аутентификации. Учитывая оценку CVSS 9.8 и сетевой вектор атаки, обновление следует провести в приоритетном порядке, а до его установки — применить компенсирующие меры защиты.

Источник: CVE Project (cvelistV5)