{"id":6071,"date":"2026-10-02T11:21:03","date_gmt":"2026-10-02T16:21:03","guid":{"rendered":"https:\/\/cert.pa\/?p=6071"},"modified":"2026-10-02T11:21:04","modified_gmt":"2026-10-02T16:21:04","slug":"csirt-panama-aviso-2026-oct-2-vulnerabilidad-critica-en-fortinet-fortimail-que-permite-escribir-archivos-arbitrarios-sin-autenticacion-cve-2026-104286","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6071","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-oct-2: Vulnerabilidad Cr\u00edtica en Fortinet FortiMail que permite escribir archivos arbitrarios sin autenticaci\u00f3n \u2014 CVE-2026-104286"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 2 de octubre de 2026
CVE ID:<\/strong> CVE-2026-104286
Severidad:<\/strong> CR\u00cdTICA \u2014 CVSS 3.1: 9.8
Vector CVSS:<\/strong> CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:H
Tipo de vulnerabilidad:<\/strong> CWE-22: Recorrido de directorios (path traversal); CWE-158: Neutralizaci\u00f3n incorrecta de byte nulo
Producto afectado:<\/strong> Fortinet FortiMail
Aviso del fabricante:<\/strong> FG-IR-26-175 (Fortinet PSIRT, 1 de octubre de 2026)
Explotaci\u00f3n activa:<\/strong> S\u00ed \u2014 Incluida en el cat\u00e1logo CISA KEV desde el 1 de octubre de 2026 (fecha l\u00edmite para agencias federales de EE. UU.: 4 de octubre de 2026)
Parche disponible:<\/strong> Versiones corregidas anunciadas por el fabricante (8.0.2, 7.6.7, 7.4.9); a la fecha de emisi\u00f3n algunas fuentes reportan que a\u00fan no han sido publicadas. Aplicar el workaround de inmediato.
Fuente:<\/strong> NVD \/ Fortinet PSIRT \/ CISA \/ Help Net Security \/ INCIBE-CERT \/ SecurityWeek
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

Se ha identificado una vulnerabilidad de recorrido de directorios (path traversal), combinada con un manejo incorrecto de caracteres nulos, en la interfaz web de Fortinet FortiMail. Est\u00e1 registrada como CVE-2026-104286 y calificada con 9.8 de 10 en la escala CVSS 3.1.<\/p>\n\n\n\n

Un atacante remoto no autenticado puede enviar solicitudes HTTP o HTTPS especialmente dise\u00f1adas para escribir archivos arbitrarios fuera del directorio autorizado en el sistema subyacente. Esto puede derivar en la ejecuci\u00f3n de c\u00f3digo no autorizado y el compromiso total del equipo, que por su funci\u00f3n procesa y almacena el correo de la instituci\u00f3n.<\/p>\n\n\n\n

El 1 de octubre de 2026, Fortinet public\u00f3 el aviso FG-IR-26-175 reconociendo que la falla se explota activamente, y ese mismo d\u00eda la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorpor\u00f3 a su cat\u00e1logo Known Exploited Vulnerabilities (KEV).<\/p>\n\n\n\n

Descripci\u00f3n t\u00e9cnica publicada en NVD (en ingl\u00e9s): \u00abAn improper limitation of a pathname to a restricted directory (‘path traversal’) vulnerability in Fortinet FortiMail 8.0.0 through 8.0.1, FortiMail 7.6.0 through 7.6.6, FortiMail 7.4.0 through 7.4.8, FortiMail 7.2.0 through 7.2.9 may allow an unauthenticated attacker to write arbitrary files on the underlying system via crafted HTTP or HTTPS requests.\u00bb<\/em><\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

Rama<\/th>Versiones afectadas<\/th>Versi\u00f3n corregida<\/th><\/tr><\/thead>
FortiMail 8.0<\/td>8.0.0 \u2013 8.0.1<\/td>8.0.2 o superior<\/td><\/tr>
FortiMail 7.6<\/td>7.6.0 \u2013 7.6.6<\/td>7.6.7 o superior<\/td><\/tr>
FortiMail 7.4<\/td>7.4.0 \u2013 7.4.8<\/td>7.4.9 o superior<\/td><\/tr>
FortiMail 7.2<\/td>7.2.0 \u2013 7.2.9<\/td>Sin parche en la rama: migrar a 7.4.9 o superior<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Nota: la rama 7.2 no recibir\u00e1 correcci\u00f3n; los equipos en esa rama deben migrar a 7.4.9 o una versi\u00f3n superior. Fuentes como SecurityWeek indican que, a la fecha de emisi\u00f3n, Fortinet no hab\u00eda anunciado la fecha de publicaci\u00f3n de las versiones corregidas. Verificar su disponibilidad en el portal de soporte de Fortinet.<\/p>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Aplicar la mitigaci\u00f3n de inmediato<\/strong>
Mientras no se pueda actualizar, aplicar el workaround del fabricante, que consiste en deshabilitar la funci\u00f3n de cifrado basado en identidad (IBE):<\/p>\n\n\n\n

config system encryption ibe\n    set status disable\nend<\/code><\/pre>\n\n\n\n
Adem\u00e1s, restringir el acceso a la interfaz de administraci\u00f3n de FortiMail para que solo sea accesible desde redes privadas de confianza, nunca desde Internet.<\/p>\n\n\n\n
2. Actualizar en cuanto est\u00e9 disponible<\/strong>
Instalar la versi\u00f3n corregida que corresponda (8.0.2, 7.6.7 o 7.4.9, o superior) seg\u00fan la tabla de la secci\u00f3n II. Los equipos en la rama 7.2 deben planificar la migraci\u00f3n a 7.4.9 o superior.<\/p>\n\n\n\n
3. Verificar posible compromiso<\/strong>
El parche y el workaround cierran el vector de explotaci\u00f3n, pero no eliminan un acceso que el atacante ya haya obtenido. Revisar los registros y el sistema en busca de actividad inusual desde antes de la mitigaci\u00f3n (cuentas nuevas, archivos o procesos desconocidos, conexiones salientes no habituales) y buscar los indicadores de compromiso de la secci\u00f3n IV.<\/p>\n\n\n\n
4. Reportar<\/strong>
Notificar cualquier hallazgo a incidentes@cert.pa. Si se confirma el compromiso, aislar el equipo, preservar evidencia y no limitarse a actualizar.<\/p>\n\n\n\n
IV. Indicadores de Compromiso (IoC)<\/strong><\/p>\n\n\n\n
Seg\u00fan el aviso FG-IR-26-175, la presencia de los siguientes archivos (a\u00f1adidos o modificados) indica un posible compromiso:<\/p>\n\n\n\n
Archivo<\/th>SHA-256<\/th><\/tr><\/thead>
\/data\/lib\/liblog.so<\/td>8015f34dc84922b03688399d7f9fe7a00361789f7e420c7e2a2cdb23e75cef84<\/td><\/tr>
\/bin\/smit<\/td>77324ac428bde86d351fc5fc06f6d64a6bfe737dfb2743df1d4c5ac2418a5b6a<\/td><\/tr>
\/data\/bin\/webconsole<\/td>7a6cea9f5c9e2e9994d4e3c4da73f86cf5acd05ea5d312c066c9d1dafd69ee38<\/td><\/tr>
\/data\/bin\/mailservice<\/td>4000276a150a165d3c2537d1e19fb393c4de8333076a16655e28059cae82157b<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
Direcciones IP asociadas a la explotaci\u00f3n<\/strong><\/p>\n\n\n\n