Le 1er octobre 2026, Fortinet a publié l’avis FG-IR-26-175 sur CVE-2026-104286, une faille de sa passerelle de messagerie FortiMail notée 9,8 sur 10 et déjà exploitée au moment de sa divulgation. Aucun correctif n’existait ce jour-là : seul un contournement était proposé. Les versions corrigées ont été ajoutées à l’avis le 5 octobre 2026. La CISA a inscrit la faille à son catalogue des vulnérabilités exploitées dès le 1er octobre.
Ce que permet la faille
Il s’agit d’une traversée de chemin combinée à une mauvaise neutralisation des caractères nuls. Selon Fortinet, un attaquant non authentifié peut écrire des fichiers arbitraires sur le système de l’appliance au moyen de requêtes HTTP ou HTTPS forgées. Écrire au bon endroit permet ensuite d’exécuter du code ou des commandes. Le point d’entrée est la fonction IBE (Identity-Based Encryption), qui sert à envoyer des e-mails chiffrés consultables par les destinataires externes via une interface web.
La faille a été trouvée en interne par Gwendal Guégniaud, de l’équipe sécurité produit de Fortinet.
Versions touchées et corrigées
| Branche | Versions vulnérables | Action |
|---|---|---|
| FortiMail 8.0 | 8.0.0 à 8.0.1 | Passer en 8.0.2 ou plus |
| FortiMail 7.6 | 7.6.0 à 7.6.6 | Passer en 7.6.7 ou plus |
| FortiMail 7.4 | 7.4.0 à 7.4.8 | Passer en 7.4.9 ou plus |
| FortiMail 7.2 | 7.2.0 à 7.2.9 | Migrer vers la branche 7.4 ou plus récente |
Pour FortiMail Cloud, Fortinet indique avoir corrigé l’ensemble des instances le 5 octobre 2026 (passage en 7.6.7 ou 8.0.2) : aucune action n’est demandée aux clients.
Exploitation constatée
Fortinet confirme l’exploitation mais ne dit pas depuis quand, contre qui, ni combien d’équipements ont été touchés. L’avis publie en revanche des indicateurs de compromission :
- adresses IP : 79.141.169.187 et 45.129.0.192 ;
- dans les journaux système, une tâche cron exécutant une commande
/bin/shfaisant référence à/migadmin, et une déconnexion de l’utilisateur « admin » depuis « (null) » ; - surtout, l’ajout d’un compte d’archivage nommé
archive234qui envoie les archives de messages vers un serveur distant (79.141.169.187), dans un répertoire/uploads, ce qui revient à copier les messages archivés vers l’extérieur ; - dans les journaux de chiffrement, des erreurs IBE « Invalid Base64 Encoding at pos 0 » et des échecs de connexion d’utilisateurs internes génériques.
Quoi faire concrètement
- Mettez à jour vers 8.0.2, 7.6.7 ou 7.4.9. Si vous êtes en 7.2, planifiez la migration vers 7.4 sans attendre.
- Si la mise à jour doit attendre, appliquez le contournement de Fortinet en désactivant IBE, dans l’interface (Encryption > IBE > IBE Service sur « off ») ou en ligne de commande :
config system encryption ibe
set status disable
end
- Autres mesures possibles : couper l’accès au webmail FortiMail depuis Internet ou le limiter à un réseau privé de confiance ; ou, si un pare-feu applicatif (WAF) est placé devant, bloquer les requêtes POST vers
/ibecontenant../. - Cherchez les indicateurs listés ci-dessus, en particulier tout compte d’archivage ou destination d’archivage distante que vous n’avez pas créée.
- Si vous trouvez une trace, considérez que les e-mails ont pu être copiés. Supprimez la règle d’archivage, faites analyser l’appliance, changez les mots de passe administrateurs et les secrets configurés (comptes LDAP, relais SMTP), et évaluez avec votre délégué à la protection des données la nécessité d’une notification à la CNIL.
Pour vérifier qu’une adresse IP observée dans vos journaux correspond à une plage que vous avez autorisée, le calculateur de sous-réseau IP fait gagner du temps.
Ce qu’il faut retenir
Une passerelle de messagerie voit passer tous les e-mails de l’entreprise : c’est une cible de choix. Le scénario décrit par Fortinet, une règle d’archivage discrète qui copie le courrier vers l’extérieur, est particulièrement sournois : l’appliance continue de fonctionner normalement. Après toute faille exploitée sur ce type d’équipement, il faut relire la configuration, pas seulement la version installée.
Sources
- Fortinet PSIRT, « FG-IR-26-175 » (FortiMail, CVE-2026-104286), 1er octobre 2026, mis à jour les 5 et 7 octobre 2026 : https://fortiguard.fortinet.com/psirt/FG-IR-26-175
- CISA, Known Exploited Vulnerabilities Catalog, entrée CVE-2026-104286 ajoutée le 1er octobre 2026 : https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Help Net Security, « Critical FortiMail zero-day exploited in the wild (CVE-2026-104286) », 2 octobre 2026 : https://www.helpnetsecurity.com/2026/10/02/fortinet-fortimail-vulnerability-cve-2026-104286/
