CVE-2026-104286: FortiMail-zero-day utnyttjas – workaround och kontroll av kompromettering

Fortinet publicerade den 1 oktober 2026 rådgivningen FG-IR-26-175 om en kritisk sårbarhet i FortiMail. Genom manipulerade HTTP- eller HTTPS-förfrågningar kan en angripare utan inloggning skriva godtyckliga filer till det underliggande systemet och därmed köra kod. Sårbarheten har beteckningen CVE-2026-104286 och ett CVSS-värde på 9.8. Fortinet bekräftar att den redan utnyttjas; den amerikanska myndigheten CISA lade samma dag till den i sin katalog över utnyttjade sårbarheter (KEV). Per den 2 oktober finns ingen uppdatering, endast en workaround.

Certifierad: Fortinet FortiMail 7.4 Administrator

Jag är certifierad av Fortinet som FortiMail 7.4 Administrator. Examinationen omfattar driftsättning, administration, löpande drift och felsökning av FortiMail. Kontrollera badge på Credly

Det viktigaste i korthet

Kronologi

Alla tider anges i centraleuropeisk sommartid (CEST). Där ingen tidpunkt anges finns ingen tillförlitlig tidsangivelse.

1. Ons 1 oktober

   Rådgivning FG-IR-26-175

   Fortinet publicerar rådgivningen med berörda versioner, workaround och indikatorer. Utnyttjandet är redan känt vid denna tidpunkt; enligt rådgivningen finns ingen virtuell patch för FortiGate-IPS.

2. Ons 1 oktober, 08:46

   Rapport på heise online

   heise rapporterar om pågående attacker och workarounden; enligt rapporten saknas fortfarande uppdateringar för att stänga sårbarheten.

3. Ons 1 oktober

   Tillagd i CISA-katalogen

   CISA lägger till CVE-2026-104286 i katalogen Known Exploited Vulnerabilities. Enligt BleepingComputer och The Hacker News ska amerikanska federala myndigheter implementera uppdateringar eller workarounds senast den 4 oktober.

4. Status tors 2 oktober

   Fortfarande öppen

   Fixversionerna 8.0.2, 7.6.7 och 7.4.9 har aviserats, men inte publicerats. Det finns inga uppgifter om attackernas omfattning, berörda organisationer eller angriparnas ursprung.

Berörda versioner

Ingen uppdatering kommer för grenen 7.2; dessa system måste byta till 7.4 eller senare. Att planera uppgraderingsvägen från Release Notes redan nu förkortar tiden till uppdateringen när fixversionen släpps. Fram till dess återstår endast workarounden.

Den aktuella versionen visas i CLI med:

get system status

Omedelbar åtgärd: genomför workarounden

Fortinet anger två alternativ. Enligt rådgivningen räcker ett av dem; där driften tillåter det är båda meningsfulla.

Alternativ 1: Inaktivera IBE

IBE (Identity-Based Encryption) är funktionen som FortiMail använder för att leverera krypterade meddelanden till externa mottagare: mottagaren får meddelandet som en krypterad bilaga (push) eller hämtar det via FortiMails webbportal (pull). Fortinet nämner IBE-funktionen som workaround, så attackerna sker via en kodväg i denna funktion. Avstängningen görs i CLI:

config system encryption ibe
    set status disable
end

Kontrollera statusen före och efter med:

show system encryption ibe

Avstängningen påverkar e-posttrafiken. Fortinet beskriver inte detta i rådgivningen. Innan ändringen bör du därför klargöra:

1. Vilka policyer som använder IBE: I innehålls- och policyprofiler är IBE konfigurerat som krypteringsåtgärd, exempelvis för ämnesnyckelord som [secure] eller dataskyddsregler. Dessa meddelanden kan inte längre levereras krypterade med IBE medan funktionen är avstängd.

2. Hur dessa meddelanden ska hanteras: hållas kvar, levereras med en annan metod (S/MIME, obligatorisk TLS) eller ge avsändarna återkoppling. Okrypterad leverans av meddelanden som en policy ska kryptera är i regel inte tillåten.

3. Vem som påverkas: Externa mottagare som hämtar meddelanden i IBE-portalen och användare som skickar krypterat bör informeras.

Alternativ 2: Blockera administrationsgränssnittet från internet

Det andra alternativet blockerar åtkomst från internet till administrationsgränssnittet eller begränsar den till betrodda privata nät, exempelvis ett hanteringsnät eller ett VPN. Det kan implementeras i en brandvägg framför systemet eller via gränssnittens åtkomstinställningar i FortiMail (Administrative Access).

Webbmail, användarnas åtkomst till karantän och IBE-portalen använder också HTTPS. Om de ligger på samma gränssnitt som administrationen blockerar en generell HTTPS-spärr även dessa tjänster. I det fallet är alternativ 1 den mer direkta vägen. SMTP på port 25 påverkas inte av något av alternativen; e-postflödet fortsätter.

Kontrollera kompromettering

Eftersom sårbarheten utnyttjades före rådgivningen utesluter workarounden inte en tidigare attack. Fortinet publicerar indikatorer i rådgivningen som kan användas för att kontrollera ett system.

Filer

Fortinet har hittat följande filer på komprometterade system. Rådgivningen anger hashvärden för dem; listan i rådgivningen är avgörande vid jämförelsen.

En post i /data/etc/ld.so.preload laddar det angivna biblioteket i förväg i varje process. Tillsammans med liblog.so tyder detta på en permanent bakdörr som överlever en omstart.

IP-adresser

Dessa adresser bör sökas efter i loggarna från FortiMail, brandväggen framför systemet och reverse proxy samt blockeras tills vidare.

Loggposter

Rådgivningen nämner tre mönster i FortiMails systemloggar:

1. Cron-poster för användaren root, som startar ett shell med koppling till /migadmin, exempelvis type=event subtype=system pri=debug user=system ui=cron msg="(root) CMD (/bin/sh -c 'O=/migadmin....

2. Konfiguration av arkivkonton med fjärr-IP-adressen 79.141.169.187. Ett arkivkonto kan lagra kopior av meddelanden på ett externt mål.

3. Base64-avkodningsfel i IBE-dekrypteraren och iögonfallande misslyckade inloggningsförsök.

Träffar på någon av dessa indikatorer innebär att systemet betraktas som komprometterat. Före varje ändring bör loggar och konfiguration säkerhetskopieras så att forensisk analys förblir möjlig. Enbart en uppdatering tar inte bort en etablerad bakdörr. Sanering omfattar ominstallation från en betrodd källa, återställning av en granskad konfiguration och byte av alla inloggningsuppgifter som lagrats på systemet: administratörskonton, LDAP-bindningskonton, SMTP-autentisering och privata nycklar för certifikat. Arkivkonton och vidarebefordringar bör kontrolleras för okända mål, eftersom meddelandeinnehåll kan läcka ut via dem.

Bedömning

E-postgateways står vid nätverkets gräns och behandlar en organisations hela meddelandetrafik. En sårbarhet som kör kod utan inloggning ger en angripare åtkomst till meddelandeinnehåll, lagrade inloggningsuppgifter och nyckelmaterial. För FortiMail är det inte första gången: I maj 2025 berörde CVE-2025-32756 (FG-IR-25-254, CVSS 9.6) utöver FortiVoice även FortiMail; sårbarheten utnyttjades då påvisbart på FortiVoice-system.

I slutet av september uppmanade dessutom Kiteworks sina kunder att som försiktighetsåtgärd stänga av sina system på grund av en varning från brottsbekämpande myndigheter; bakgrunden är fortfarande oklar där (Kiteworks: rekommendation om avstängning den 26 september). Något samband mellan de båda fallen är inte känt.

Vad som ska göras nu

1. Fastställ versionen med get system status och jämför med tabellen över berörda versioner.

2. Kontrollera indikatorerna och säkerhetskopiera loggar innan ändringar görs i systemet.

3. Genomför workarounden: inaktivera IBE eller blockera administrationsgränssnittet från internet, efter att konsekvenserna för krypterade leveranser har klargjorts.

4. Blockera IP-adresserna och sök retroaktivt efter dem i brandväggsloggarna.

5. Planera uppdateringen: installera fixversionen så snart den släpps; uppgradera system på 7.2 till 7.4 eller senare.

6. Följ rådgivningen: Fortinet kompletterar FG-IR-26-175 vid nya rön; revisionshistoriken finns i slutet av rådgivningen.