FortiMail CVE-2026-104286 : le zero-day activement exploité

archive234. Si ce nom de compte apparaît dans les logs CLI de ta passerelle FortiMail, arrête ce que tu fais et traite ta machine comme compromise. C’est l’un des indicateurs que Fortinet a publiés le 1er octobre 2026 pour CVE-2026-104286, une faille critique activement exploitée en zero-day sur l’interface d’administration de FortiMail — et plus de dix jours plus tard, le correctif complet n’est toujours pas confirmé disponible pour trois des quatre branches concernées.

Ce que permet la faille, techniquement

CVE-2026-104286 cumule deux faiblesses : un path traversal classique (CWE-22) et un défaut de neutralisation des octets NULL (CWE-158) dans l’interface de management de FortiMail. L’effet combiné permet à un attaquant non authentifié d’écrire des fichiers arbitraires sur le système sous-jacent via une requête HTTP ou HTTPS forgée — pas de credentials nécessaires, pas d’interaction utilisateur. Le CVSS atteint 9.8, et pour une fois le chiffre n’est pas gonflé : écrire où on veut sur le disque d’une passerelle mail qui voit passer toute ta messagerie, c’est à peu près le pire scénario d’accès initial qu’on puisse avoir sur ce type d’appliance.

Fortinet l’a découverte en interne (l’équipe Product Security, pas un chercheur externe ni un rapport de compromission), ce qui n’a pas empêché l’exploitation active d’être confirmée dès la publication de l’avis FG-IR-26-175. Les versions concernées couvrent large : FortiMail 8.0.0 à 8.0.1, 7.6.0 à 7.6.6, 7.4.0 à 7.4.8, et 7.2.0 à 7.2.9.

Le patch n’est pas complètement sorti — et c’est le vrai problème

Voilà le point sur lequel il faut être précis plutôt qu’optimiste. Pour la branche 7.2, Fortinet donne une réponse claire : il n’y aura pas de correctif dédié, il faut migrer vers la 7.4 ou une version ultérieure. Pour les branches 7.4, 7.6 et 8.0, les versions corrigées annoncées sont respectivement 7.4.9, 7.6.7 et 8.0.2 — mais au 5 octobre, elles restaient documentées comme « à venir » plutôt que confirmées disponibles au téléchargement. Avant de planifier ta fenêtre de maintenance, vérifie toi-même sur le portail de support Fortinet et sur l’avis FG-IR-26-175 que la version ciblée est bien publiée : ne te fie pas à un numéro de version lu sur un blog tiers, y compris celui-ci.

En attendant un correctif confirmé, Fortinet recommande deux mitigations qui se combinent bien : désactiver le support IBE si tu ne l’utilises pas,

config system encryption ibe
    set status disable
end

et surtout bloquer l’accès à l’interface de management depuis Internet, ou la restreindre à des réseaux privés de confiance. C’est la mitigation qui compte le plus, parce que l’exploitation passe précisément par cette interface — et c’est une règle qui devrait de toute façon s’appliquer à toute interface d’administration, faille ou pas.

Comment savoir si tu as déjà été touché

Fortinet a publié une liste d’indicateurs de compromission assez précise pour que ça vaille le coup de les chercher maintenant plutôt que d’attendre un incident confirmé. Côté fichiers, surveille la présence de /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice et /data/etc/ld.so.preload, ainsi que des modifications sur /bin/smit, /data/etc/httpd.conf et /data/migadmin.tar.gz. Côté logs, trois signaux se recoupent dans les cas documentés : la création d’un compte d’archivage nommé archive234 pointant vers un serveur distant à l’adresse 79.141.169.187 (répertoire /uploads — un signe net d’exfiltration de données), une tâche cron liée à /migadmin, et des erreurs de déchiffrement IBE causées par un encodage Base64 invalide. Une seconde adresse IP, 45.129.0.192, apparaît aussi dans les communications associées à l’attaque.

CISA a ajouté la faille à son catalogue Known Exploited Vulnerabilities, avec une échéance au 4 octobre pour les agences fédérales américaines — triage forensique et mitigation. Cette échéance ne te concerne pas directement si tu n’es pas une agence fédérale US, mais l’inscription au catalogue KEV reste un signal fiable que l’exploitation est confirmée et active, pas hypothétique. BleepingComputer a publié l’analyse technique complète le jour de la divulgation, avec le détail des hachages SHA-256 pour chaque fichier IOC.

FAQ

Dois-je couper FortiMail en attendant le correctif ?

Pas nécessairement. La mitigation recommandée par Fortinet — restreindre l’accès à l’interface de management aux réseaux de confiance — neutralise le vecteur d’attaque sans arrêter le service de messagerie lui-même, à condition que cette interface ne soit pas déjà exposée publiquement (et elle ne devrait jamais l’être).

Comment savoir si mon interface de management FortiMail est exposée sur Internet ?

Vérifie les règles de pare-feu en amont de l’appliance et teste l’accès depuis une IP externe à ton réseau. Si tu peux atteindre l’interface d’admin sans être sur le VPN ou le réseau interne, elle est exposée — referme-la avant toute autre action.

La version 7.2 de FortiMail aura-t-elle un correctif ?

Non, Fortinet ne prévoit pas de correctif pour la branche 7.2. La migration vers la 7.4 (ou ultérieure) est la seule voie indiquée.

Passe à l’action

Si tu gères une passerelle FortiMail, la priorité n’est pas le patch — il n’est pas encore confirmé disponible pour ta version — c’est de vérifier dès aujourd’hui que l’interface de management n’est accessible que depuis un réseau de confiance, puis de chercher les IOC listés plus haut dans tes logs. On avait déjà couvert un lot de failles Fortinet ajoutées au catalogue CISA KEV mi-septembre, et le même réflexe de vérification d’exposition s’appliquait déjà à la faille SAML NetScaler traitée début octobre : les interfaces d’administration exposées sont, mois après mois, le point d’entrée le plus rentable pour un attaquant.