Seguir A Fortinet divulgou uma vulnerabilidade crítica de dia zero no FortiMail que os atacantes já estão explorando em campo. Rastreadas como CVE-2026-104286 e classificadas com 9,8 na escala CVSS, a falha permite que um atacante remoto não autenticado escreva arquivos arbitrários no sistema subjacente enviando solicitações HTTP ou HTTPS especialmente criadas.
A vulnerabilidade representa um risco significativo porque os dispositivos FortiMail são frequentemente posicionados na borda da empresa para proteger a infraestrutura de e-mail contra phishing, malware, spam e comprometimento de e-mail empresarial. Uma fraqueza que permite que os atacantes manipulem arquivos em um dispositivo de segurança voltado para a internet pode abrir a porta para persistência, adulteração de configuração, implantação de malware e, potencialmente, comprometimento mais amplo.
A CISA adicionou a vulnerabilidade ao seu catálogo de Vulnerabilidades Exploradas Conhecidas em 1º de outubro de 2026, confirmando que a exploração não é teórica. As agências do Ramo Executivo Civil Federal foram instruídas a aplicar as remediações ou mitigadores recomendados pelo fornecedor até 4 de outubro, destacando a urgência da questão.
As equipes de segurança que procuram conteúdo de detecção para CVE-2026-104286 podem aproveitar a Plataforma de Inteligência de Detecção Nativa em IA da SOC Prime para identificar comportamentos suspeitos associados a tentativas de exploração e atividade pós-comprometimento. Clique Explorar Detecções para acessar regras de detecção relevantes e consultas de busca mapeadas para MITRE ATT&CK® e compatíveis com várias tecnologias SIEM, EDR e Data Lake.
Profissionais de segurança também podem usar o Uncoder AI para acelerar a engenharia de detecção transformando inteligência de ameaças recente e IOCs de CVE-2026-104286 em consultas de busca personalizadas, gerando lógica de detecção, validando regras, visualizando fluxos de ataque e traduzindo detecções em várias plataformas de segurança.
Análise da CVE-2026-104286
A falha está enraizada em uma restrição de caminho inadequada combinada com um manuseio inadequado de caracteres de byte NULO. A Fortinet associa a fraqueza à travessia de caminho (CWE-22) e neutralização imprópria de bytes NULOS (CWE-158). Ao enviar solicitações criadas para um dispositivo FortiMail vulnerável, um atacante não autenticado pode manipular caminhos de arquivos e escrever arquivos fora de seus locais pretendidos.
A CVE-2026-104286 afeta o FortiMail nas versões 8.0.0 até 8.0.1, versões 7.6.0 até 7.6.6, versões 7.4.0 até 7.4.8 e versões 7.2.0 até 7.2.9, de acordo com o aviso da Fortinet citado pelos dois relatórios. Organizações que operam qualquer um desses ramos devem considerar os dispositivos expostos em risco imediato, especialmente quando a interface de gerenciamento é alcançável pela internet.
A ausência de autenticação é o que torna a vulnerabilidade especialmente perigosa. Um atacante não precisa de credenciais válidas do FortiMail ou acesso prévio para atacar o componente vulnerável. Solicitações HTTP ou HTTPS criadas sozinhas podem acionar o comportamento de gravação de arquivo arbitrário, reduzindo significativamente a barreira para exploração.
A escrita arbitrária de arquivos é também mais consequente do que uma simples corrupção de arquivos. Dependendo da localização e do conteúdo dos arquivos que um atacante cria ou modifica, a capacidade pode ser usada para alterar configurações, introduzir bibliotecas ou executáveis maliciosos, estabelecer persistência e potencialmente alcançar execução não autorizada de código ou comando. Várias autoridades nacionais de cibersegurança consequentemente trataram a falha como apresentando um risco de execução remota de código, embora a descrição principal da vulnerabilidade da Fortinet especificamente confirme gravações arbitrárias de arquivos.
Dois endereços IP associados à atividade observada são 79.141.169[.]187 e 45.129.0[.]192.
Evidências adicionais relatadas dos indicadores da Fortinet incluem uma conta de arquivamento chamada archive234 configurada para se comunicar com 79.141.169[.]187, atividade cron root associada a /migadmin, falhas incomuns de descriptografia IBE envolvendo dados Base64 inválidos e tentativas de autenticação de usuário interno falhadas. Esses artefatos devem ser correlacionados com outra telemetria de host e rede em vez de tratados individualmente como prova definitiva de comprometimento.
Um repositório indexado publicamente rotulado como um PoC de CVE-2026-104286 também apareceu. No entanto, repositórios de exploração disponíveis publicamente devem ser tratados com cautela, a menos que seu comportamento e precisão técnica tenham sido validados independentemente. A exploração ativa já foi confirmada independentemente pela Fortinet e pela CISA, independentemente da disponibilidade de qualquer prova de conceito pública.
Para os defensores que revisam detalhes técnicos da CVE-2026-104286, a combinação de acessibilidade de rede, baixa complexidade de ataque, nenhuma exigência de autenticação e nenhuma interação de usuário necessária explica a classificação crítica 9.8 CVSS v3.1. As organizações devem detectar a exploração da CVE-2026-104286 olhando além da solicitação HTTP maliciosa inicial. A monitoração deve incluir arquivos inesperados nos diretórios do sistema FortiMail, modificações na configuração do servidor web, alterações suspeitas em bibliotecas de pré-carregamento, contas recém-criadas, atividade cron anormal e conexões de saída para infraestrutura desconhecida.
Como a falha foi explorada antes da divulgação pública, simplesmente aplicar uma solução alternativa não estabelece que um dispositivo está limpo. Qualquer instância do FortiMail vulnerável exposta à internet deve ser avaliada para sinais de comprometimento anterior, com logs relevantes e artefatos forenses preservados antes da remediação disruptiva.
Mitigação CVE-2026-104286
A Fortinet recomenda desabilitar o suporte à Criptografia Baseada em Identidade (IBE) como uma solução alternativa imediata onde operacionalmente viável. Os administradores podem aplicar a seguinte configuração:
config system encryption ibe
set status disable
end
A Fortinet, alternativamente, recomenda remover a interface de gerenciamento do FortiMail da exposição direta à internet ou restringir o acesso exclusivamente a redes privadas confiáveis. Não há patch virtual listado no relatório atual.
Para o FortiMail 8.0, o fornecedor identifica a versão 8.0.2 ou posterior como o caminho de liberação corrigido. Clientes do FortiMail 7.6 devem mudar para 7.6.7 ou posterior, enquanto instalações do FortiMail 7.4 devem usar 7.4.9 ou posterior. Para o FortiMail 7.2, a Fortinet aconselha a atualização para um ramo mais novo. No momento do último relatório, as versões 8.0.2, 7.6.7 e 7.4.9 ainda eram descritas como futuras, portanto, os administradores devem verificar a disponibilidade diretamente no aviso ao vivo da Fortinet antes de agendar uma atualização.
É particularmente importante para organizações que executam o ramo 7.2 não interpretar “atualizar para 7.4” como permissão para se mover para qualquer versão 7.4. As versões até 7.4.8 são listadas como vulneráveis, portanto, a migração deve acabar em uma versão corrigida.
Juntamente com a mitigação principal da CVE-2026-104286, as equipes de segurança devem conduzir uma avaliação de comprometimento em cada dispositivo vulnerável que era publicamente alcançável. Revise as mudanças de sistema e configuração, eventos de autenticação, jobs cron, binários ou bibliotecas introduzidos recentemente, conexões de saída e atividade de administrador.
Se qualquer indicador publicado for identificado, preserve logs e arquivos relevantes antes da remediação. Considere o dispositivo potencialmente comprometido até que a investigação determine o contrário. Credenciais e segredos acessíveis a partir do sistema devem ser alterados se o comprometimento for confirmado ou não puder ser excluído com confiança.
As organizações também devem monitorar continuamente o aviso da Fortinet para disponibilidade de versões corrigidas atualizadas e indicadores adicionais à medida que a investigação evolui. A Plataforma de Inteligência de Detecção Nativa em IA da SOC Prime pode ajudar os defensores a manter a lógica de detecção alinhada com padrões de exploração emergentes e comportamentos pós-exploração.
Aviso Legal: O conteúdo de detecção pode não estar disponível para todas as CVEs. Verifique a Plataforma SOC Prime para cobertura atual. Se as detecções relevantes ainda não estiverem disponíveis, verifique novamente mais tarde, pois novo conteúdo de detecção é continuamente adicionado.
FAQ
O que é CVE-2026-104286 e como funciona?
A CVE-2026-104286 é uma vulnerabilidade crítica do FortiMail da Fortinet com uma pontuação CVSS de 9,8. Ela combina travessia de caminho e manuseio inadequado de byte NULO, permitindo que um atacante remoto não autenticado envie solicitações HTTP ou HTTPS especialmente criadas e escreva arquivos arbitrários no dispositivo subjacente. Essa capacidade pode permitir manipulação de configuração, persistência, colocação de arquivos maliciosos e comprometimento subsequente.
Quando a CVE-2026-104286 foi descoberta pela primeira vez?
A Fortinet divulgou publicamente a vulnerabilidade em 1º de outubro de 2026, no aviso FG-IR-26-175 e confirmou que a exploração já havia ocorrido em campo. A Fortinet creditou Gwendal Guégniaud, de sua equipe de Segurança de Produtos, por descobrir e relatar o problema internamente, mas a data exata da descoberta interna original não foi especificada publicamente.
Qual é o impacto da CVE-2026-104286 nos sistemas?
A exploração bem-sucedida permite que um atacante não autenticado escreva arquivos arbitrários em um dispositivo FortiMail vulnerável. Em ataques observados, a Fortinet identificou novos e modificados arquivos de sistema, demonstrando que a exploração pode alterar materialmente o estado do dispositivo. As capacidades de gravação de arquivos arbitrários também podem facilitar persistência, adulteração de configuração, colocação de código malicioso e potencialmente execução não autorizada de comandos.
A CVE-2026-104286 ainda pode me afetar em 2026?
Sim. Qualquer instalação afetada do FortiMail que não tenha sido movida para uma versão corrigida ou protegida com a solução alternativa recomendada pela Fortinet permanece em risco. A ameaça é imediata porque a exploração já foi confirmada e a vulnerabilidade está incluída no catálogo KEV da CISA. Interfaces de gerenciamento expostas à internet devem receber a maior prioridade de remediação.
Como posso me proteger contra CVE-2026-104286?
Desative a funcionalidade IBE do FortiMail usando a configuração CLI recomendada pela Fortinet ou remova a interface de gerenciamento da exposição à internet e restrinja-a a redes confiáveis. Monitore o aviso da Fortinet e atualize para 8.0.2+, 7.6.7+ ou 7.4.9+ quando a versão corrigida apropriada estiver disponível. As organizações também devem inspecionar os dispositivos vulneráveis para os arquivos publicados, IPs, contas, cron e indicadores de log, pois somente a remediação não pode determinar se a exploração ocorreu antes de a solução alternativa ser aplicada.
