FortiMail की शोषित खामी: सबसे स्पष्ट निशान हमलावर के सर्वर की ओर इशारा करता एक मेल आर्काइव अकाउंट है

1 अक्टूबर 2026 को Fortinet ने FortiMail की एक खामी पर एडवाइज़री प्रकाशित की। FortiMail वह ईमेल सुरक्षा गेटवे है जिसे कई कंपनियाँ आने और जाने वाले मेल की जाँच के लिए अपने मेलबॉक्स के आगे लगाती हैं। यह खामी, CVE-2026-104286, 10 में से 9.8 रेटिंग वाली है, बिना अकाउंट और बिना पासवर्ड वाला हमलावर इसका शोषण कर सकता है, और Fortinet का कहना है कि वास्तविक दुनिया में इसका शोषण हो रहा है। उसी दिन सऊदी अरब के राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) ने गंभीर स्तर की चेतावनी 2026-7895 जारी की, और अमेरिका की साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी (CISA) ने इसे ज्ञात शोषित कमज़ोरियों की अपनी सूची में जोड़ दिया।

यह खामी IT से पहले प्रबंधन के लिए क्यों मायने रखती है

पिछले हफ़्ते हमने Cisco के ब्रांच-नेटवर्क मैनेजर में एक शोषित खामी के बारे में लिखा था, और इस सवाल के बारे में कि आपकी कंपनी में मैनेज्ड सिस्टम को पैच कौन करता है। यह खामी एक ऐसे तरीक़े से अलग है जो IT से पहले प्रबंधन के लिए मायने रखता है: Fortinet द्वारा प्रकाशित समझौते के संकेतकों में एक लॉग लाइन है जो दिखाती है कि हमलावर ने एक मेल आर्काइव अकाउंट जोड़ा, जिसका गंतव्य एक बाहरी सर्वर है। यहाँ जोखिम उपकरण पर ही नहीं रुकता। यह कंपनी के मेल तक पहुँचता है।

Fortinet ने क्या प्रकाशित किया

• उत्पाद: FortiMail, Fortinet का ईमेल सुरक्षा गेटवे।
• खामी: एक पाथ ट्रैवर्सल (path traversal) कमज़ोरी, जो अनुरोधों में NULL बाइट्स के ग़लत प्रबंधन के साथ मिलकर, एक विशेष रूप से तैयार HTTP या HTTPS अनुरोध को उपकरण के अपने सिस्टम पर फ़ाइलें लिखने देती है। Fortinet इसके प्रभाव को अनधिकृत कोड या कमांड के निष्पादन के रूप में आँकता है।
• पूर्व शर्त: कोई नहीं। एक अप्रमाणित दूरस्थ हमलावर, 10 में से 9.8 के CVSS स्कोर के साथ।
• स्थिति: Fortinet के अनुसार वास्तविक दुनिया में शोषित, और इसकी अपनी सुरक्षा टीम द्वारा आंतरिक रूप से खोजी गई।
• सुधार: जब एडवाइज़री जारी हुई, तब कोई अपडेट उपलब्ध नहीं था, और SecurityWeek ने 2 अक्टूबर को बताया कि सुधार आगामी संस्करणों में आएँगे, जिनकी रिलीज़ तिथि नहीं दी गई। इसके बाद Fortinet के रिलीज़ नोट्स संस्करण 7.6.7 की तिथि 2 अक्टूबर और संस्करण 7.4.9 और 8.0.2 की तिथि 3 अक्टूबर बताते हैं, और 5 अक्टूबर को Fortinet ने एडवाइज़री का समाधान खंड अपडेट किया। सुधारे गए संस्करण नीचे की तालिका में हैं।
• स्थानीय चेतावनी: राष्ट्रीय साइबर सुरक्षा प्राधिकरण की चेतावनी 2026-7895, दिनांक 1 अक्टूबर 2026, गंभीर स्तर, जिसमें प्रभावित उत्पादों को अपडेट करने की सिफ़ारिश की गई है।
• अमेरिकी समय-सीमा: CISA ने अमेरिकी संघीय एजेंसियों को 4 अक्टूबर तक, यानी तीन दिन, का समय दिया और इस खामी को अपनी फ़ॉरेंसिक ट्राइएज आवश्यकताओं के अधीन किया। यह 2026 की शुरुआत से एजेंसी द्वारा अपनी सूची में जोड़ी गई आठवीं Fortinet कमज़ोरी है।

एडवाइज़री के अनुसार प्रभावित और सुधारे गए संस्करण:

आख़िरी पंक्ति पर ध्यान दें: शाखा 7.2 को उसी शाखा के भीतर कोई सुधार नहीं मिलता। उसे दूसरी शाखा में जाना होगा, जिसके लिए योजना चाहिए, लेकिन इसमें देर नहीं की जा सकती।

ईमेल गेटवे इतना महत्वपूर्ण क्यों है

ईमेल गेटवे इंटरनेट और आपके कर्मचारियों के मेलबॉक्स के बीच होता है, इसलिए हर आने और जाने वाला संदेश उससे होकर गुज़रता है: कोटेशन, सप्लायर इनवॉइस, अनुबंध, बैंक पत्राचार, और बैंक विवरण बदलने के अनुरोध। यही वजह है कि मेल पर उसके व्यापक अधिकार होते हैं। यही वह सिस्टम है जो संदेशों की जाँच करता है, उन्हें क्वारंटीन करता है, एन्क्रिप्ट करता है और आर्काइव करता है।

खामी जिस पाथ का शोषण करती है, वह IBE सुविधा, यानी पहचान-आधारित एन्क्रिप्शन, से जुड़ा है, जिसका उपयोग FortiMail एन्क्रिप्टेड संदेश भेजने के लिए करता है जिन्हें प्राप्तकर्ता एक वेब पोर्टल के ज़रिए खोलते हैं। कई सेटअप में यह पोर्टल इंटरनेट से सुलभ होता है ताकि कंपनी के बाहर के प्राप्तकर्ता इसका उपयोग कर सकें।

आपकी टीम को कौन-सा निशान खोजना चाहिए: एक आर्काइव अकाउंट जिसे किसी ने नहीं बनाया

एडवाइज़री के साथ Fortinet ने समझौते के संकेतक भी प्रकाशित किए। इनमें दो IP पते, 79.141.169.187 और 45.129.0.192, और एक सिस्टम इवेंट लॉग लाइन शामिल है जो archive234 नाम के एक आर्काइव अकाउंट को जोड़े जाने को दिखाती है, जिसका गंतव्य एक दूरस्थ सर्वर है: वही पता, 79.141.169.187, /uploads नाम की एक डायरेक्टरी में। वही लाइन दिखाती है कि यह बदलाव यूज़रनेम admin के तहत, कमांड लाइन से किया गया।

यह समझने के लिए कि उस लाइन का क्या मतलब है: FortiMail की आर्काइविंग सुविधा आर्काइव किए गए संदेशों को आर्काइव अकाउंट में संग्रहीत करती है, और हर अकाउंट का एक गंतव्य होता है। यह स्थानीय हो सकता है, उपकरण की डिस्क पर या किसी नेटवर्क स्टोरेज सर्वर पर, या दूरस्थ, किसी ऐसे सर्वर पर जिससे उपकरण FTP या SFTP के ज़रिए जुड़ता है। कौन-से संदेश आर्काइव होंगे, यह अलग आर्काइविंग नीतियाँ तय करती हैं। इसलिए हमलावर के सर्वर की ओर इशारा करता आर्काइव अकाउंट, जैसे ही उससे कोई आर्काइविंग नीति जोड़ी जाती है, कंपनी से बाहर संदेशों की प्रतिलिपि भेजने का रास्ता बन जाता है। एडवाइज़री यह नहीं बताती कि पाए गए मामलों में वास्तव में कोई मेल कॉपी हुआ या नहीं।

अपनी IT टीम या सेवा प्रदाता से क्या कहें:

• उपकरण पर हर आर्काइव अकाउंट और आर्काइविंग नीति की समीक्षा करें, और ऐसे किसी भी दूरस्थ गंतव्य के बारे में पूछें जिसे कंपनी में कोई नहीं पहचानता।
• लॉग में दोनों प्रकाशित पते खोजें, और archive234 नाम का अकाउंट या कोई भी हालिया आर्काइव अकाउंट जिसका निर्माता अज्ञात हो।
• उपकरण पर एडमिनिस्ट्रेटर अकाउंट और ऐसे किसी भी कॉन्फ़िगरेशन बदलाव की समीक्षा करें जिसका कोई हिसाब न दे सके।
• पैच से पहले लॉग और कॉन्फ़िगरेशन की एक प्रति सहेजें। सेटिंग्स आमतौर पर अपग्रेड के बाद भी बनी रहती हैं, इसलिए पहले जोड़ा गया अकाउंट तब तक रहता है जब तक कोई उसे हटा न दे। पैच दरवाज़ा बंद करता है। वह यह नहीं बताता कि उससे होकर कौन आया।

अगर आप आज रात पैच नहीं कर सकते

Fortinet तीन विकल्पों वाला एक अस्थायी उपाय बताता है:

• GUI में IBE सुविधा बंद करें (Encryption, फिर IBE, फिर IBE Service बंद करें) या कमांड लाइन से।
• या FortiMail वेबमेल इंटरफ़ेस तक इंटरनेट पहुँच को ब्लॉक करें, या उसे किसी विश्वसनीय निजी नेटवर्क तक सीमित करें।
• या, अगर उपकरण के आगे वेब एप्लिकेशन फ़ायरवॉल है, तो /ibe पर जाने वाले उन POST अनुरोधों को ब्लॉक करें जिनमें ../ हो।

IBE बंद करने से उस सुविधा के ज़रिए एन्क्रिप्टेड डिलीवरी रुक जाती है, इसलिए अगर कोई विभाग उस पर निर्भर है, तो उसके साथ एक अस्थायी विकल्प तय करें। अस्थायी उपाय यह सीमित करता है कि खामी तक कौन पहुँच सकता है। यह अपग्रेड का विकल्प नहीं है, और न ही उससे पहले क्या हुआ, इसकी जाँच की ज़रूरत को ख़त्म करता है।

असली नुकसान हफ़्तों बाद फ़ाइनेंस तक पहुँचता है

मेल कॉपी करना अपने आप में लक्ष्य नहीं है। जो भी सप्लायरों के साथ आपका पत्राचार पढ़ता है, वह जान लेता है कि इनवॉइस कौन भेजता है, कब, किस प्रारूप में, और कौन-से परचेज़ ऑर्डर भुगतान की प्रतीक्षा में हैं। इनवॉइस-रीडायरेक्शन धोखाधड़ी को ठीक यही सामग्री चाहिए: एक संदेश जो सप्लायर से आया हुआ लगता है, एक असली बातचीत के भीतर, जिसमें अगला भुगतान एक नए बैंक खाते में भेजने को कहा जाता है।

इस तरह की धोखाधड़ी को रोकने के लिए तकनीक नहीं चाहिए। इसके लिए एक नियम चाहिए जिसका पालन आपकी फ़ाइनेंस टीम आज से करे:

• किसी सप्लायर का बैंक खाता केवल एक ईमेल के आधार पर कभी नहीं बदला जाता, चाहे वह कितना भी असली लगे।
• सप्लायर की फ़ाइल में पहले से दर्ज नंबर पर फ़ोन करके सत्यापन करें, संदेश में दिए गए नंबर पर कभी नहीं।
• सप्लायर के बैंक विवरण में बदलाव के लिए उसे दर्ज करने वाले व्यक्ति के अलावा किसी दूसरे व्यक्ति की मंज़ूरी ज़रूरी है, और सिस्टम दर्ज करता है कि इसे किसने और कब बदला।
• नए बैंक खाते में पहले भुगतान की बाक़ी भुगतानों से ज़्यादा बारीकी से समीक्षा होती है।

हमने बैंक विवरण बदलाव की प्रक्रिया को सिस्टम में कैसे शामिल करें, यह निर्धारित सप्लायर भुगतान रन और स्टेटमेंट मिलान पर हमारे लेख में समझाया है।

अगर पता चले कि संदेश कॉपी किए गए थे

अगर आपकी टीम को कोई अनजान आर्काइव अकाउंट या संदेशों के कॉपी होने का सबूत मिले, तो इसे कॉन्फ़िगरेशन की ग़लती नहीं, बल्कि डेटा उल्लंघन मानें, क्योंकि ईमेल में आमतौर पर व्यक्तिगत डेटा होता है: ग्राहकों के नाम, मोबाइल नंबर और पते। व्यक्तिगत डेटा उल्लंघन की घटनाओं पर सऊदी डेटा और कृत्रिम बुद्धिमत्ता प्राधिकरण (SDAIA) की प्रक्रियात्मक मार्गदर्शिका नियंत्रक से अपेक्षा करती है कि वह ऐसी घटना की जानकारी मिलने के 72 घंटों के भीतर सक्षम प्राधिकरण को सूचित करे जो डेटा या उससे जुड़े लोगों को नुकसान पहुँचा सकती है, या उनके अधिकारों या हितों के विरुद्ध हो सकती है, और अगर घटना प्रभावित डेटा विषयों के डेटा को नुकसान पहुँचाती है या उनके अधिकारों या हितों के विरुद्ध है तो उन्हें बिना अनुचित देरी के सूचित करे। उन सप्लायरों और ग्राहकों को भी बताएँ जिनका पत्राचार उजागर हुआ, क्योंकि आपकी कंपनी के नाम वाले धोखाधड़ी संदेश उन तक पहुँच सकते हैं।

Origami का दृष्टिकोण

हम बिज़नेस सिस्टम बनाते हैं। हम ईमेल उपकरण न बेचते हैं, न चलाते हैं। लेकिन हमारा बनाया हर सिस्टम ईमेल भेजता है: इनवॉइस, ऑर्डर पुष्टि, खाता विवरण। हमारी राय में, कंपनी के मेल को कॉपी करने की क्षमता पर उतनी ही कड़ी नज़र होनी चाहिए जितनी अकाउंटिंग सिस्टम तक पहुँच पर, क्योंकि इनवॉइस और बैंक विवरण बदलने का अनुरोध, दोनों सिस्टम तक पहुँचने से पहले ईमेल से होकर गुज़रते हैं।

सऊदी व्यवसाय मालिकों के लिए हम इस खामी को दो तरह से देखते हैं। पहला, सुरक्षा उपकरण ख़ुद बार-बार निशाना बन रहे हैं, इसलिए जो उपकरण आपने अपने मेल की सुरक्षा के लिए ख़रीदा है, उसे किसी ऐसे व्यक्ति की ज़रूरत है जो उसकी चेतावनियों पर नज़र रखे और उसे किसी भी दूसरे सिस्टम की तरह अपडेट करे। दूसरा, चुराए गए पत्राचार का सबसे अच्छा जवाब केवल तकनीकी नहीं है: फ़ाइनेंस में फ़ोन से सत्यापन का नियम चुराए गए मेल पर आधारित धोखाधड़ी को विफल कर देता है, भले ही सेंध का कभी पता न चले।

मुख्य बातें

• अगर आपकी कंपनी FortiMail इस्तेमाल करती है, तो आज ही उसका संस्करण पता करें और 8.0.2, 7.6.7, 7.4.9 या बाद के संस्करण पर अपग्रेड करें, और शाखा 7.2 को 7.4 या बाद की शाखा में ले जाएँ।
• अपग्रेड होने तक: IBE बंद करें, या वेबमेल इंटरफ़ेस तक इंटरनेट पहुँच ब्लॉक करें।
• आर्काइव अकाउंट और नीतियों की समीक्षा करें, दोनों प्रकाशित पतों को खोजें, और पैच से पहले लॉग सहेजें।
• आज ही फ़ाइनेंस को बताएँ: किसी ज्ञात नंबर पर फ़ोन सत्यापन और एक दूसरे अनुमोदक के बिना किसी सप्लायर के बैंक खाते में कोई बदलाव नहीं।
• अगर कॉपी किए गए संदेशों में व्यक्तिगत डेटा था और उल्लंघन संबंधित लोगों को नुकसान पहुँचा सकता है या उनके अधिकारों या हितों के विरुद्ध हो सकता है, तो सक्षम प्राधिकरण को सूचित करने की समय-सीमा घटना की जानकारी मिलने से 72 घंटे है।

स्रोत

• Fortinet: CVE-2026-104286 के लिए एडवाइज़री FG-IR-26-175 (1 अक्टूबर 2026 को प्रकाशित, 5 अक्टूबर को अपडेट), संस्करणों, अस्थायी उपाय और समझौते के संकेतकों का स्रोत
• राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA): Fortinet चेतावनी 2026-7895 (1 अक्टूबर 2026)
• CISA: सूची में एक ज्ञात शोषित कमज़ोरी जोड़ी गई (1 अक्टूबर 2026), और स्वयं सूची
• SecurityWeek: Exploited Fortinet FortiMail Zero-Day Calls for Urgent Action (2 अक्टूबर 2026)
• Fortinet: FortiMail एडमिनिस्ट्रेशन गाइड, ईमेल आर्काइविंग अकाउंट कॉन्फ़िगर करना
• Fortinet: FortiMail रिलीज़ नोट्स, 7.6.7, 7.4.9 और 8.0.2
• सऊदी डेटा और कृत्रिम बुद्धिमत्ता प्राधिकरण (SDAIA): व्यक्तिगत डेटा उल्लंघन घटनाओं पर प्रक्रियात्मक मार्गदर्शिका