FortiMail sotto attacco Zero-Day: CVE-2026-104286 permette scrittura file remota senza autenticazione

Una vulnerabilità zero-day critica in Fortinet FortiMail è stata segnalata come attivamente sfruttata e inserita nel catalogo delle vulnerabilità note sfruttate. Il difetto, identificato come CVE-2026-104286 con punteggio CVSS 9.8, consente a un attaccante non autenticato di scrivere file arbitrari sul sistema sottostante tramite richieste HTTP o HTTPS appositamente create.

In ottica di cybersecurity aziendale, questo tipo di falla è particolarmente pericoloso perché può aprire la strada a compromissioni persistenti, modifica di componenti chiave e potenziale esecuzione di codice attraverso tecniche di manomissione dei binari o dei file di configurazione.

Il problema è legato a path traversal e alla gestione non corretta di caratteri NULL, combinazione che può permettere di uscire dalle directory previste e depositare file in posizioni sensibili. Le versioni impattate includono FortiMail 8.0.0 e 8.0.1, 7.6.0 fino a 7.6.6, 7.4.0 fino a 7.4.8 e 7.2.0 fino a 7.2.9. In attesa degli aggiornamenti correttivi per alcuni rami, viene raccomandato di applicare mitigazioni immediate, riducendo la superficie di attacco esposta su internet.

Tra le contromisure operative, una delle più rilevanti è la disattivazione del supporto alla funzione IBE tramite comando CLI, oltre alla restrizione dell’accesso all’interfaccia di gestione di FortiMail, consentendolo solo da reti private fidate o tramite controlli di accesso rigorosi. Dal punto di vista della difesa, è fondamentale anche aumentare il monitoraggio dei sistemi, verificare modifiche inattese e attivare alert su scritture anomale in percorsi critici.

Sono stati inoltre condivisi indicatori di compromissione utili per attività di threat hunting e incident response, inclusi indirizzi IP sospetti e una lista di file aggiunti o modificati, come librerie e binari in data/lib e data/bin, il file ld.so.preload e configurazioni come httpd.conf. La presenza di questi artefatti può indicare tentativi di persistenza o alterazioni del servizio. In contesti regolati, è consigliabile allineare le azioni di remediation con le scadenze richieste dalle direttive di sicurezza, privilegiando patch e workaround nel più breve tempo possibile.