Faille FortiMail exploitée : la trace la plus nette est un compte d'archivage du courrier pointant vers le serveur de l'attaquant

Le 1er octobre 2026, Fortinet a publié un avis concernant une faille dans FortiMail, la passerelle de sécurité de la messagerie que beaucoup d'entreprises placent devant leurs boîtes aux lettres pour inspecter le courrier entrant et sortant. Cette faille, CVE-2026-104286, est notée 9,8 sur 10, peut être exploitée par un attaquant sans compte ni mot de passe, et Fortinet indique qu'elle est exploitée dans la nature. Le même jour, l'Autorité nationale de cybersécurité d'Arabie saoudite (NCA) a émis l'alerte 2026-7895 de gravité critique, et l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) l'a ajoutée à son catalogue des vulnérabilités connues exploitées.

Pourquoi cette faille concerne la direction avant l'informatique

La semaine dernière, nous avons écrit sur une faille exploitée dans le gestionnaire de réseau d'agences de Cisco et sur la question de savoir qui applique les correctifs aux systèmes gérés de votre entreprise. Celle-ci diffère sur un point qui concerne la direction avant l'informatique : parmi les indicateurs de compromission publiés par Fortinet figure une ligne de journal montrant que l'attaquant a ajouté un compte d'archivage du courrier dont la destination est un serveur externe. Le risque ne s'arrête pas ici à l'appliance. Il atteint le courrier de l'entreprise lui-même.

Ce qu'a publié Fortinet

• Produit : FortiMail, la passerelle de sécurité de la messagerie de Fortinet.
• La faille : une faiblesse de type traversée de répertoires combinée à un traitement incorrect des octets NULL dans les requêtes, qui permet à une requête HTTP ou HTTPS forgée d'écrire des fichiers sur le système même de l'appliance. Fortinet évalue l'impact comme l'exécution de code ou de commandes non autorisés.
• Prérequis : aucun. Un attaquant distant non authentifié, avec un score CVSS de 9,8 sur 10.
• Statut : exploitée dans la nature selon Fortinet, et découverte en interne par sa propre équipe de sécurité.
• Le correctif : à la publication de l'avis, aucune mise à jour n'était encore disponible, et SecurityWeek a indiqué le 2 octobre que les correctifs arriveraient dans des versions à venir, sans date de sortie. Les notes de version de Fortinet datent ensuite la version 7.6.7 du 2 octobre et les versions 7.4.9 et 8.0.2 du 3 octobre, et le 5 octobre Fortinet a mis à jour la section « solution » de l'avis. Les versions corrigées figurent dans le tableau ci-dessous.
• Alerte locale : alerte 2026-7895 de l'Autorité nationale de cybersécurité, datée du 1er octobre 2026, de gravité critique, recommandant la mise à jour des produits concernés.
• L'échéance américaine : la CISA a donné aux agences fédérales américaines jusqu'au 4 octobre, soit trois jours, et a soumis la faille à ses exigences de tri forensique. C'est la huitième vulnérabilité Fortinet que l'agence ajoute à son catalogue depuis le début de 2026.

Versions concernées et corrigées, selon l'avis :

Notez la dernière ligne : la branche 7.2 ne reçoit aucun correctif au sein de la branche. Elle exige un passage à une autre branche, ce qui demande de la planification mais ne peut pas attendre.

Pourquoi la passerelle de messagerie compte autant

La passerelle de messagerie se trouve entre Internet et les boîtes aux lettres de vos employés : chaque message entrant et sortant passe donc par elle, qu'il s'agisse de devis, de factures fournisseurs, de contrats, de correspondance bancaire ou de demandes de modification des coordonnées bancaires. C'est pourquoi elle détient des pouvoirs étendus sur le courrier. C'est le système qui inspecte, met en quarantaine, chiffre et archive les messages.

Le chemin exploité par la faille appartient à la fonction IBE, le chiffrement fondé sur l'identité, que FortiMail utilise pour envoyer des messages chiffrés que les destinataires ouvrent via un portail web. Dans beaucoup de configurations, ce portail est accessible depuis Internet pour que les destinataires extérieurs à l'entreprise puissent l'utiliser.

La trace que votre équipe doit rechercher : un compte d'archivage que personne n'a créé

Avec l'avis, Fortinet a publié des indicateurs de compromission. Ils comprennent deux adresses IP, 79.141.169.187 et 45.129.0.192, et une ligne du journal des événements système montrant l'ajout d'un compte d'archivage nommé archive234, avec un serveur distant pour destination : la même adresse, 79.141.169.187, dans un répertoire appelé /uploads. La même ligne montre que la modification a été faite sous le nom d'utilisateur admin, depuis la ligne de commande.

Pour comprendre ce que signifie cette ligne : la fonction d'archivage de FortiMail stocke les messages archivés dans des comptes d'archivage, et chaque compte a une destination. Elle peut être locale, sur le disque de l'appliance ou sur un serveur de stockage réseau, ou distante, sur un serveur auquel l'appliance se connecte en FTP ou en SFTP. Les messages archivés sont déterminés par des politiques d'archivage distinctes. Ainsi, un compte d'archivage pointant vers le serveur de l'attaquant devient, dès qu'une politique d'archivage lui est rattachée, une voie pour copier des messages hors de l'entreprise. L'avis ne dit pas si du courrier a effectivement été copié dans les cas découverts.

Ce qu'il faut demander à votre équipe informatique ou à votre prestataire :

• Examiner chaque compte d'archivage et chaque politique d'archivage de l'appliance, et s'interroger sur toute destination distante que personne dans l'entreprise ne reconnaît.
• Rechercher dans les journaux les deux adresses publiées, ainsi qu'un compte nommé archive234 ou tout compte d'archivage récent dont le créateur est inconnu.
• Examiner les comptes administrateurs de l'appliance et toute modification de configuration que personne ne sait expliquer.
• Sauvegarder une copie des journaux et de la configuration avant d'appliquer le correctif. Les paramètres survivent généralement à une mise à niveau : un compte ajouté auparavant reste donc en place jusqu'à ce que quelqu'un le supprime. Le correctif ferme la porte. Il ne vous dit pas qui l'a franchie.

Si vous ne pouvez pas appliquer le correctif ce soir

Fortinet propose une solution de contournement avec trois options :

• Désactiver la fonction IBE dans l'interface graphique (Encryption, puis IBE, puis désactiver IBE Service) ou depuis la ligne de commande.
• Ou bloquer l'accès Internet à l'interface webmail de FortiMail, ou le limiter à un réseau privé de confiance.
• Ou, si un pare-feu applicatif web se trouve devant l'appliance, bloquer les requêtes POST vers /ibe qui contiennent ../ .

Désactiver IBE interrompt l'envoi chiffré par cette fonction : si un service en dépend, convenez avec lui d'une solution temporaire. Une solution de contournement réduit le nombre de personnes pouvant atteindre la faille. Elle ne remplace pas la mise à niveau, et elle ne dispense pas de vérifier ce qui s'est passé auparavant.

Le vrai préjudice atteint la finance des semaines plus tard

Copier le courrier n'est pas une fin en soi. Quiconque lit votre correspondance avec vos fournisseurs apprend qui envoie les factures, quand, sous quel format, et quels bons de commande attendent un paiement. C'est exactement la matière dont a besoin la fraude au détournement de factures : un message qui semble venir du fournisseur, au sein d'une vraie conversation, demandant que le prochain paiement soit versé sur un nouveau compte bancaire.

Arrêter ce type de fraude ne demande pas de technologie. Cela demande une règle que votre service financier applique dès aujourd'hui :

• Le compte bancaire d'un fournisseur n'est jamais modifié sur la seule foi d'un e-mail, aussi authentique qu'il paraisse.
• Vérifiez par téléphone sur un numéro figurant déjà dans le dossier du fournisseur, jamais sur un numéro donné dans le message lui-même.
• Une modification des coordonnées bancaires d'un fournisseur exige l'approbation d'une seconde personne, distincte de celle qui l'a saisie, et le système enregistre qui l'a modifiée et quand.
• Le premier paiement vers un nouveau compte bancaire fait l'objet d'un examen plus attentif que les autres.

Nous avons expliqué comment intégrer le circuit de modification des coordonnées bancaires dans le système dans notre article sur les campagnes de paiement fournisseurs planifiées et le rapprochement des relevés.

S'il s'avère que des messages ont été copiés

Si votre équipe découvre un compte d'archivage inconnu ou des preuves que des messages ont été copiés, traitez-le comme une violation de données, et non comme une erreur de configuration, car le courrier contient généralement des données personnelles : noms, numéros de mobile et adresses des clients. Le guide procédural de la SDAIA sur les incidents de violation de données personnelles impose au responsable du traitement de notifier l'autorité compétente dans les 72 heures suivant la prise de connaissance d'un incident susceptible de porter atteinte aux données ou aux personnes concernées, ou d'aller à l'encontre de leurs droits ou intérêts, et d'informer les personnes concernées sans retard injustifié s'il porte atteinte à leurs données ou va à l'encontre de leurs droits ou intérêts. Prévenez aussi les fournisseurs et les clients dont la correspondance a été exposée, car des messages frauduleux portant le nom de votre entreprise pourraient leur parvenir.

Le regard d'Origami

Nous construisons des systèmes de gestion. Nous ne vendons ni n'exploitons d'appliances de messagerie. Mais chaque système que nous construisons envoie des e-mails : factures, confirmations de commande, relevés de compte. À nos yeux, la capacité de copier le courrier de l'entreprise mérite la même vigilance que l'accès au système comptable, car la facture et la demande de modification des coordonnées bancaires transitent toutes deux par e-mail avant d'atteindre le système.

Nous lisons cette faille de deux manières pour les chefs d'entreprise saoudiens. D'abord, les appliances de sécurité elles-mêmes sont devenues une cible récurrente : l'appareil que vous avez acheté pour protéger votre courrier a besoin de quelqu'un qui suit ses alertes et le met à jour comme n'importe quel autre système. Ensuite, la meilleure réponse à une correspondance volée n'est pas seulement technique : une règle de vérification téléphonique au sein de la finance déjoue la fraude bâtie sur du courrier volé, même si la violation n'est jamais découverte.

À retenir

• Si votre entreprise utilise FortiMail, vérifiez sa version dès aujourd'hui et passez en 8.0.2, 7.6.7, 7.4.9 ou ultérieure, et faites passer la branche 7.2 en 7.4 ou au-delà.
• En attendant la mise à niveau : désactivez IBE, ou bloquez l'accès Internet à l'interface webmail.
• Examinez les comptes et les politiques d'archivage, recherchez les deux adresses publiées et sauvegardez les journaux avant d'appliquer le correctif.
• Dites-le à la finance aujourd'hui : aucune modification du compte bancaire d'un fournisseur sans vérification téléphonique sur un numéro connu et sans second approbateur.
• Si des messages copiés contenaient des données personnelles et que la violation peut porter atteinte aux personnes concernées ou aller à l'encontre de leurs droits ou intérêts, le délai de notification à l'autorité compétente est de 72 heures à compter de la prise de connaissance de l'incident.

Sources

• Fortinet : avis FG-IR-26-175 concernant CVE-2026-104286 (publié le 1er octobre 2026, mis à jour le 5 octobre), source des versions, de la solution de contournement et des indicateurs de compromission
• Autorité nationale de cybersécurité (NCA) : alerte Fortinet 2026-7895 (1er octobre 2026)
• CISA : une vulnérabilité connue exploitée ajoutée au catalogue (1er octobre 2026), et le catalogue lui-même
• SecurityWeek : Exploited Fortinet FortiMail Zero-Day Calls for Urgent Action (2 octobre 2026)
• Fortinet : guide d'administration de FortiMail, configuration des comptes d'archivage du courrier
• Fortinet : notes de version de FortiMail pour 7.6.7, 7.4.9 et 8.0.2
• SDAIA : guide procédural sur les incidents de violation de données personnelles