Uma falha de segurança crítica no FortiMail, da Fortinet, foi adicionada ao catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) pela Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA), após relatos de exploração ativa. Identificada como CVE-2026-104286, a vulnerabilidade possui um escore CVSS de 9.8 e possibilita que atacantes não autenticados escrevam arquivos arbitrários no sistema afetado.
A falha decorre de uma limitação inadequada de um caminho para um diretório restrito, conhecida como ‘path traversal’, e de uma neutralização imprópria de bytes ou caracteres nulos. Isso permite que um invasor não autenticado escreva arquivos arbitrários no sistema subjacente por meio de requisições HTTP ou HTTPS manipuladas.
As versões impactadas incluem FortiMail 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8 e 7.2.0 a 7.2.9. A Fortinet recomenda a atualização para versões superiores, como 8.0.2, 7.6.7 ou 7.4.9. Até que as correções estejam disponíveis, a empresa sugere desativar o suporte à funcionalidade IBE e restringir o acesso à interface de gerenciamento do FortiMail apenas a redes privadas confiáveis.
A descoberta da falha foi creditada a Gwendal Guégniaud, da equipe de segurança de produtos da Fortinet. Em resposta à exploração ativa, as agências do Ramo Executivo Civil Federal (FCEB) foram orientadas a aplicar os patches ou medidas de mitigação até 4 de outubro de 2026.
Além do FortiMail, outras vulnerabilidades em produtos como Check Point, Arista VeloCloud Orchestrator, F5 BIG-IP Access Policy Manager, Cisco Catalyst SD-WAN Manager e Citrix NetScaler também estão sendo exploradas ativamente.
Fonte:https://thehackernews.com/2026/10/critical-fortimail-zero-day-flaw.html
