Fortinet, kritik FortiMail açığını duyurdu

Fortinet, kritik bir FortiMail açığı hakkında uyarıda bulundu. CVE-2026-104286 olarak takip edilen bu güvenlik açığı, yetkisiz kod veya komutların hassas cihazlarda çalıştırılmasına olanak tanıyor ve aktif olarak sıfırıncı gün saldırılarında kullanılıyor. Açığın CVSS puanı 9.8 olarak değerlendirilmiş olup, FortiMail yönetim arayüzünü etkiliyor.

Açığın Özellikleri

Fortinet'in yayımladığı bilgilere göre, bu güvenlik açığı, bir yol adının kısıtlı bir dizine sınırlanmasındaki uygunsuzluk ve NULL bayt veya NULL karakterin uygunsuz nötralizasyonu ile ilgilidir. Bu durum, kimlik doğrulaması yapılmamış bir saldırganın, özel olarak hazırlanmış HTTP veya HTTPS istekleri aracılığıyla sistemde rastgele dosyalar yazmasına imkan tanıyor.

Etkilenen Sürümler

Güvenlik açığı, FortiMail 8.0.0 ile 8.0.1, 7.6.0 ile 7.6.6, 7.4.0 ile 7.4.8 ve 7.2.0 ile 7.2.9 sürümlerini etkilemektedir. Fortinet, bu açığın aktif olarak istismar edildiğini belirterek, müşterilerine geçici çözümler uygulamalarını öneriyor.

Geçici Çözümler

FortiMail 7.2 kullanıcıları, açığı gidermek için 7.4 sürümüne veya daha yenisine geçiş yapabilir. Ancak, FortiMail 7.4, 7.6 ve 8.0 sürümleri için güvenlik güncellemeleri henüz mevcut değil. Fortinet, bu sürümlerdeki açığı giderecek olan FortiMail 7.4.9, 7.6.7 ve 8.0.2 sürümlerinin yakın zamanda çıkacağını duyurdu.

Yönetici, açığı azaltmak için IBE özellik desteğini devre dışı bırakabilir veya FortiMail yönetim arayüzüne internet üzerinden erişimi engelleyebilir. Ayrıca, Fortinet, saldırılarla ilişkili bazı dosyaların ve IP adreslerinin listesine de yer verdi. Örneğin, 79.141.169.187 ve 45.129.0.192 IP adresleri, saldırılarla ilişkilendirilen adresler arasında yer alıyor.

Log Girişleri ve İzleme

Fortinet, yöneticilerin potansiyel olarak tehlikeye atılmış cihazları tanımlamak için kullanabileceği log girişlerini de paylaştı. Bu loglardan biri, 79.141.169.187 IP adresinin uzaktan sunucu olarak kullanıldığı bir arşiv hesabının yapılandırıldığını gösteriyor. Diğer log girişleri, bir komutla ilişkili bir cron görevi, bir yönetici çıkış olayı ve geçersiz Base64 kodlaması nedeniyle bir IBE şifre çözme hatası içeriyor.

Sonuç olarak, Fortinet, bu açığın ilk ne zaman istismar edildiği veya kaç sistemin etkilendiği hakkında bilgi vermedi. CISA gibi hükümet ajansları ile koordinasyon halinde olduklarını belirtiyorlar. CISA, CVE-2026-104286 açığını bilinen istismar edilen güvenlik açıkları kataloğuna ekledi ve federal ajansların bu açığı 4 Ekim'e kadar gidermesini talep etti.