Vulnerabilità Fortinet FortiMail CVE-2026-104286: come proteggersi

Il 1° ottobre 2026 Fortinet ha pubblicato il bollettino di sicurezza FG-IR-26-175, confermando lo sfruttamento attivo di una falla critica sui propri gateway di posta. La vulnerabilità Fortinet FortiMail CVE-2026-104286 permette a un aggressore esterno di prendere il controllo dell'apparato: chi utilizza le versioni 7.2, 7.4, 7.6 e 8.0 deve disattivare immediatamente la funzione di cifratura IBE e isolare l'interfaccia di gestione in attesa delle correzioni definitive.

Dettagli della vulnerabilità Fortinet FortiMail CVE-2026-104286

Il difetto, identificato con il codice CVE-2026-104286 e un punteggio di gravità massimo (9.8 su 10), colpisce l'interfaccia di gestione web e la funzionalità di cifratura basata sull'identità (IBE). Secondo quanto riportato da The Hacker News, si tratta di un problema di attraversamento delle cartelle di sistema e di mancata neutralizzazione dei caratteri nulli. Questo permette a un utente non autenticato di scrivere file a piacimento sul sistema operativo del gateway inviando richieste web manipolate, ottenendo così l'esecuzione di codice con i massimi privilegi.

L'agenzia statunitense CISA ha già inserito la falla nel proprio catalogo delle vulnerabilità sfruttate attivamente, mentre l'Agenzia per la Cybersicurezza Nazionale (ACN) ha diramato un'allerta per le organizzazioni italiane. Un gateway di posta compromesso espone l'azienda all'intercettazione delle email, al furto di credenziali e all'infiltrazione diretta nella rete locale.

Versioni coinvolte e chi deve intervenire

Il bollettino ufficiale di Fortinet indica che il problema riguarda i seguenti rami software di FortiMail:

• Ramo 8.0: versioni dalla 8.0.0 alla 8.0.1.
• Ramo 7.6: versioni dalla 7.6.0 alla 7.6.6.
• Ramo 7.4: versioni dalla 7.4.0 alla 7.4.8.
• Ramo 7.2: versioni dalla 7.2.0 alla 7.2.9.

Indicatori di compromissione e segnali di attacco

Fortinet consiglia di verificare i registri di sistema per individuare eventuali intrusioni già avvenute. I segnali di una compromissione includono:

Indirizzi IP sospetti:

• 79.141.169.187
• 45.129.0.192

File anomali aggiunti o modificati:

• /data/lib/liblog.so (aggiunto)
• /data/bin/webconsole (aggiunto)
• /data/bin/mailservice (aggiunto)
• /data/etc/ld.so.preload (aggiunto)
• /bin/smit (modificato)
• /data/etc/httpd.conf (modificato)
• /data/migadmin.tar.gz (modificato)

Messaggi di errore specifici nei registri:

• "FortiMail::IBE::DecrypterMediaIn::DecrypterMediaIn(FortiMail::MediaIn&, const FortiMail::IBE::KeyFinder&, const FortiMail::EmailAddress&, const FortiMail::Buffer&, FortiMail::IBE::DecrypterMediaIn::Version): Caught BufferException(2), BufferImpl.cpp:973, 'Invalid Base64 Encoding at pos 0. Character=0x2a'"
• "Added 'archive234' to 'archive account' : rotation-size[50]rotation-time[1] rotation-hour[14]destination[remote]remote-ip[79.141.169.187]remote-username[archive234]remote-password[***]remote-directory[/uploads] (user: admin, from: cli)"
• "type=event subtype=system pri=debug user=system ui=cron msg=\"(root) CMD (/bin/sh -c 'O=/migadmin"

Cosa fare: mitigazioni e aggiornamenti

Poiché le versioni software con la correzione definitiva (8.0.2, 7.6.7 e 7.4.9) sono in fase di rilascio, è necessario applicare subito le seguenti misure temporanee:

1. Disattivare la funzione IBE: accedere all'interfaccia a riga di comando dell'apparato ed eseguire in sequenza i comandi config system encryption ibe, set status disable e end.
2. Isolare la gestione: bloccare l'accesso all'interfaccia amministrativa da indirizzi IP pubblici, limitandolo esclusivamente a reti private protette (come una VPN aziendale).
3. Ispezionare i registri: cercare gli indicatori di compromissione elencati sopra per escludere accessi non autorizzati pregressi.
4. Pianificare l'aggiornamento: appena i pacchetti 8.0.2, 7.6.7 e 7.4.9 saranno resi disponibili da Fortinet, procedere con l'installazione. Per gli apparati fermi alla versione 7.2.x, che non riceveranno correzioni, è obbligatorio programmare la migrazione al ramo 7.4.x o superiore.

Verificate con il vostro responsabile IT o fornitore di servizi l'attuale esposizione dei gateway di posta aziendali.

Fonti

• Fortinet warns of critical FortiMail flaw exploited in zero-day attacks
• Critical FortiMail Zero-Day Flaw Exploited in Attacks Allows Unauthenticated Arbitrary File Writes
• Bollettino FG-IR-26-175 di Fortinet
• CISA Adds One Known Exploited Vulnerability to Catalog
• ACN - Rilevato sfruttamento in rete della CVE-2026-104286