CVE-2026-104286: falha crítica no FortiMail é explorada ativamente
A Fortinet confirmou que a vulnerabilidade CVE-2026-104286 está sendo usada contra sistemas FortiMail. A falha permite que um invasor sem autenticação grave arquivos arbitrários no dispositivo por meio de requisições HTTP ou HTTPS especialmente elaboradas. Com nota 9,8 no CVSS 3.1 e presença no catálogo de vulnerabilidades exploradas da CISA, o caso exige resposta urgente dos administradores.
O problema afeta um equipamento que ocupa uma posição estratégica: o gateway de segurança de e-mail. Como recebe mensagens de fora da organização e pode interagir com mecanismos de autenticação, criptografia e sistemas internos, o FortiMail comprometido pode representar um risco que vai além do próprio aparelho.
Como funciona a vulnerabilidade
De acordo com o aviso FG-IR-26-175, a CVE-2026-104286 combina uma falha de path traversal com o tratamento inadequado de um caractere nulo. Explorando essa condição, um atacante pode direcionar a gravação de arquivos para locais não autorizados no sistema, sem precisar entrar com uma conta válida.
A gravação arbitrária compromete a integridade do equipamento. Dependendo do arquivo afetado e das condições do ambiente, o invasor pode tentar modificar componentes, manter acesso persistente ou preparar etapas posteriores, incluindo a execução de comandos não autorizados. A falha não significa, por si só, que todos esses resultados ocorrerão em cada dispositivo vulnerável: o impacto concreto depende da configuração e do nível de acesso obtido.
A confirmação de exploração real muda a prioridade do caso. A inclusão no catálogo KEV da CISA indica que não se trata apenas de uma vulnerabilidade grave em teoria: há evidências de que ela está sendo utilizada. Por isso, empresas que usam as versões afetadas devem tratar a correção e a investigação como tarefas imediatas.
Versões vulneráveis e correções previstas
O aviso da Fortinet lista como afetadas as seguintes versões:
– FortiMail 8.0.0 a 8.0.1;
– FortiMail 7.6.0 a 7.6.6;
– FortiMail 7.4.0 a 7.4.8;
– FortiMail 7.2.0 a 7.2.9.
Para os ramos 8.0, 7.6 e 7.4, a empresa indicou, respectivamente, as versões 8.0.2, 7.6.7 e 7.4.9 como destinos de correção. Na divulgação inicial, essas atualizações ainda constavam como futuras. Para a linha 7.2, a orientação era migrar para o ramo 7.4 ou superior.
Como a disponibilidade das atualizações pode mudar, é importante conferir o aviso de segurança vigente da Fortinet antes de planejar a instalação. A migração para outra versão não deve ser considerada suficiente sem verificar se ela realmente corrige a falha. Em especial, não se deve presumir que qualquer versão de um ramo superior esteja protegida.
O que fazer agora
A primeira medida é localizar todos os appliances FortiMail da organização e registrar versão instalada, responsável técnico, exposição à internet e dependências operacionais. O inventário deve incluir também dispositivos mantidos por filiais ou prestadores de serviço, para evitar que um equipamento esquecido permaneça vulnerável.
Em seguida, os administradores devem avaliar se a interface de administração ou o caminho associado ao Identity-Based Encryption (IBE) esteve acessível a redes não confiáveis. Enquanto a atualização adequada não estiver disponível ou não puder ser aplicada, siga as medidas temporárias indicadas pela Fortinet, incluindo a desativação da funcionalidade vulnerável quando essa orientação se aplicar ao ambiente. Restrinja também o acesso administrativo às redes e aos endereços estritamente necessários.
Após a aplicação da correção, a organização deve confirmar a versão instalada e verificar se os serviços continuam funcionando como esperado. A atualização, sozinha, não comprova que não houve invasão anterior; por isso, ela precisa ser acompanhada de uma análise do dispositivo e de seus registros.
Investigar sinais de comprometimento
A equipe de segurança deve revisar logs e eventos do FortiMail em busca de requisições incomuns, alterações inesperadas no sistema e atividade administrativa fora do padrão. Também é recomendável comparar arquivos e configurações com referências conhecidas como confiáveis, quando houver meios adequados para isso.
A investigação não deve ficar limitada ao gateway. Se houver indícios de comprometimento, avalie possíveis acessos a mensagens armazenadas, credenciais e sistemas conectados. O FortiMail pode ocupar uma posição que facilite tentativas de movimentação dentro da rede, embora o alcance real dependa das permissões, integrações e controles existentes.
Caso sejam encontrados sinais de invasão, preserve evidências antes de realizar mudanças que possam apagá-las. Acione os responsáveis por resposta a incidentes e siga os procedimentos internos para contenção, análise e recuperação. Dependendo do que for identificado, poderá ser necessário revisar credenciais relacionadas e verificar outros ativos que se comunicam com o appliance.
Por que o gateway precisa estar no plano de segurança
Equipamentos de proteção também são alvos e fazem parte da superfície de ataque. Como muitas organizações os consideram apenas barreiras contra ameaças externas, podem deixar de incluí-los no inventário, no monitoramento ou nos ciclos de atualização. A exploração da CVE-2026-104286 reforça que gateways de e-mail precisam receber o mesmo nível de atenção que servidores e outros sistemas críticos.
Além da correção imediata, vale revisar quem pode acessar a administração, como as atualizações são testadas e aplicadas e quais alertas são gerados pelo dispositivo. Restringir a exposição desnecessária, centralizar registros e definir responsáveis por cada appliance ajudam a reduzir o tempo entre a divulgação de uma falha e a resposta operacional.
A prioridade, neste caso, é confirmar se há FortiMail vulnerável, limitar a exposição, instalar uma versão corrigida assim que ela estiver disponível e investigar sinais de atividade suspeita. Como a exploração foi confirmada, aguardar o próximo ciclo regular de manutenção pode deixar a organização exposta por tempo demais.