Zero-day crítico no FortiMail é explorado em ataques
A Fortinet confirmou a exploração ativa de uma vulnerabilidade crítica no FortiMail. Identificada como CVE-2026-104286, a falha recebeu pontuação 9,8 no sistema CVSS e pode permitir que invasores sem autenticação gravem arquivos arbitrários no sistema. O alerta levou a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) a incluir o problema em seu catálogo de vulnerabilidades exploradas conhecidas.
O defeito combina duas falhas de validação: uma restrição inadequada de caminhos, conhecida como *path traversal*, e o tratamento incorreto de bytes nulos. Com requisições HTTP ou HTTPS preparadas especificamente para esse fim, um atacante pode contornar os limites de diretórios e gravar arquivos em locais indevidos. Como não é necessário ter uma conta válida, a exposição de interfaces acessíveis pela internet aumenta o risco.
Estão afetadas as versões FortiMail 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8 e 7.2.0 a 7.2.9. A empresa informou que há exploração em ambientes reais e recomendou a adoção imediata de medidas paliativas enquanto as correções não estiverem disponíveis para determinadas versões.
Uma das ações recomendadas é desabilitar o recurso IBE pela linha de comando:
“`text
config system encryption ibe
set status disable
end
“`
Também é importante impedir que a interface de gerenciamento do FortiMail seja acessada diretamente pela internet. Quando a desativação não for possível, o acesso deve ficar limitado a redes privadas confiáveis e a endereços de administração autorizados. Essa restrição reduz a superfície de ataque, embora não substitua a instalação de uma atualização assim que ela estiver disponível.
Como verificar sinais de comprometimento
A Fortinet divulgou indicadores que podem ajudar na investigação. Entre os endereços IP associados à atividade suspeita estão `79.141.169[.]187` e `45.129.0[.]192`. A formatação entre colchetes impede que esses endereços sejam acessados por engano ao consultar o alerta.
A empresa também apontou arquivos que podem ter sido adicionados ao sistema: `/data/lib/liblog.so`, `/data/bin/webconsole`, `/data/bin/mailservice` e `/data/etc/ld.so.preload`. Entre os arquivos que podem ter sido modificados estão `/bin/smit`, `/data/etc/httpd.conf` e `/data/migadmin.tar.gz`.
A presença de qualquer um desses elementos não deve ser avaliada isoladamente. Administradores precisam comparar os arquivos com uma instalação íntegra, conferir datas de criação e alteração e analisar registros de acesso, comandos executados e conexões de saída. Uma alteração inesperada em arquivos de configuração ou bibliotecas do sistema merece investigação prioritária.
Caso haja indícios de invasão, a equipe deve preservar logs e evidências antes de realizar mudanças que possam apagá-los. Em seguida, é recomendável isolar o equipamento da rede, avaliar se outros sistemas foram alcançados e conduzir a resposta a partir de um ambiente confiável. A simples remoção de um arquivo suspeito pode não eliminar persistência ou outros mecanismos instalados pelo invasor.
A revisão deve incluir as contas administrativas, as credenciais utilizadas no dispositivo e as regras de acesso remoto. Se houver suspeita de exposição de senhas ou tokens, eles devem ser substituídos, e os acessos precisam ser reavaliados. Também convém verificar se mensagens, configurações de correio ou regras de encaminhamento foram alteradas sem autorização.
A vulnerabilidade foi descoberta e reportada por Gwendal Guégniaud, da equipe de Segurança de Produtos da Fortinet. Até que as correções sejam aplicadas, organizações que utilizam versões afetadas devem registrar as medidas emergenciais adotadas, acompanhar novas orientações do fabricante e manter o FortiMail sob monitoramento reforçado.
Para reduzir o risco de incidentes semelhantes, empresas devem manter um inventário atualizado de equipamentos expostos, limitar interfaces administrativas à menor quantidade possível de redes e estabelecer um processo rápido para aplicar atualizações críticas. A combinação de restrição de acesso, análise de indicadores e resposta documentada ajuda a diminuir a janela de exposição, mas não elimina a necessidade de atualizar o produto assim que o pacote corretivo correspondente estiver disponível.