Il 1 ottobre 2026 Fortinet ha pubblicato un bollettino su una falla in FortiMail, il gateway di sicurezza della posta elettronica che molte aziende mettono davanti alle proprie caselle per ispezionare la posta in entrata e in uscita. La falla, CVE-2026-104286, ha un punteggio di 9.8 su 10, può essere sfruttata da un attaccante senza account e senza password, e Fortinet afferma che è sfruttata attivamente. Lo stesso giorno l'Autorità Nazionale per la Cybersicurezza dell'Arabia Saudita (NCA) ha emesso l'allerta 2026-7895 con gravità Critica, e l'Agenzia statunitense per la cybersicurezza e la sicurezza delle infrastrutture (CISA) l'ha aggiunta al suo catalogo di vulnerabilità sfruttate note.

Perché questa falla riguarda la direzione prima dell'IT

La settimana scorsa abbiamo scritto di una falla sfruttata nel gestore delle reti di filiale di Cisco e della domanda su chi applica le patch ai sistemi gestiti della vostra azienda. Questa è diversa in un modo che riguarda la direzione prima dell'IT: tra gli indicatori di compromissione pubblicati da Fortinet c'è una riga di log che mostra che l'attaccante ha aggiunto un account di archiviazione della posta la cui destinazione è un server esterno. Qui il rischio non si ferma all'apparato. Arriva alla posta stessa dell'azienda.

Cosa ha pubblicato Fortinet

  • Prodotto: FortiMail, il gateway di sicurezza della posta elettronica di Fortinet.
  • La falla: una debolezza di path traversal combinata con una gestione impropria dei byte NULL nelle richieste, che permette a una richiesta HTTP o HTTPS costruita ad arte di scrivere file nel sistema stesso dell'apparato. Fortinet classifica l'impatto come esecuzione di codice o comandi non autorizzati.
  • Prerequisito: nessuno. Un attaccante remoto non autenticato, con un punteggio CVSS di 9.8 su 10.
  • Stato: sfruttata attivamente secondo Fortinet, e scoperta internamente dal suo stesso team di sicurezza.
  • La correzione: quando è uscito il bollettino non c'erano ancora aggiornamenti disponibili, e SecurityWeek ha riferito il 2 ottobre che le correzioni sarebbero arrivate in versioni future, senza data di rilascio. Le note di rilascio di Fortinet datano poi la versione 7.6.7 al 2 ottobre e le versioni 7.4.9 e 8.0.2 al 3 ottobre, e il 5 ottobre Fortinet ha aggiornato la sezione soluzione del bollettino. Le versioni corrette sono nella tabella qui sotto.
  • Allerta locale: allerta 2026-7895 dell'Autorità Nazionale per la Cybersicurezza, datata 1 ottobre 2026, gravità Critica, che raccomanda di aggiornare i prodotti interessati.
  • La scadenza negli USA: la CISA ha dato alle agenzie federali statunitensi tempo fino al 4 ottobre, tre giorni, e ha sottoposto la falla ai suoi requisiti di triage forense. È l'ottava vulnerabilità Fortinet che l'agenzia aggiunge al suo catalogo dall'inizio del 2026.

Versioni interessate e corrette, secondo il bollettino:

Ramo di rilascioVersioni interessateCorrezione
8.0da 8.0.0 a 8.0.18.0.2 o successiva
7.6da 7.6.0 a 7.6.67.6.7 o successiva
7.4da 7.4.0 a 7.4.87.4.9 o successiva
7.2da 7.2.0 a 7.2.9Passare al ramo 7.4 o successivo

Notate l'ultima riga: il ramo 7.2 non riceve una correzione all'interno del ramo. Richiede il passaggio a un altro ramo, il che va pianificato ma non può aspettare.

Perché il gateway di posta conta così tanto

Il gateway di posta si trova tra internet e le caselle del vostro personale, quindi ogni messaggio in entrata e in uscita passa da lì: preventivi, fatture dei fornitori, contratti, corrispondenza bancaria e richieste di modifica delle coordinate bancarie. Per questo ha ampi poteri sulla posta. È il sistema che ispeziona, mette in quarantena, cifra e archivia i messaggi.

Il percorso sfruttato dalla falla appartiene alla funzione IBE, la cifratura basata sull'identità, che FortiMail usa per inviare messaggi cifrati che i destinatari aprono tramite un portale web. In molte configurazioni quel portale è raggiungibile da internet, così che possano usarlo anche destinatari esterni all'azienda.

La traccia che il vostro team deve cercare: un account di archiviazione che nessuno ha creato

Insieme al bollettino, Fortinet ha pubblicato indicatori di compromissione. Comprendono due indirizzi IP, 79.141.169.187 e 45.129.0.192, e una riga del log degli eventi di sistema che mostra l'aggiunta di un account di archiviazione chiamato archive234, con un server remoto come destinazione: lo stesso indirizzo, 79.141.169.187, in una directory chiamata /uploads. La stessa riga mostra che la modifica è stata fatta con il nome utente admin, da riga di comando.

Per capire cosa significa quella riga: la funzione di archiviazione di FortiMail conserva i messaggi archiviati in account di archiviazione, e ogni account ha una destinazione. Può essere locale, sul disco dell'apparato o su un server di archiviazione di rete, oppure remota, su un server a cui l'apparato si collega via FTP o SFTP. Quali messaggi vengono archiviati lo decidono policy di archiviazione separate. Così un account di archiviazione puntato sul server dell'attaccante diventa, non appena gli viene associata una policy di archiviazione, una via per copiare i messaggi fuori dall'azienda. Il bollettino non dice se nei casi individuati sia stata effettivamente copiata della posta.

Cosa chiedere al vostro team IT o al vostro fornitore di servizi:

  • Controllare ogni account e ogni policy di archiviazione sull'apparato, e chiedere conto di qualsiasi destinazione remota che nessuno in azienda riconosce.
  • Cercare nei log i due indirizzi pubblicati, e un account chiamato archive234 o qualsiasi account di archiviazione recente il cui creatore sia sconosciuto.
  • Controllare gli account amministratore sull'apparato e qualsiasi modifica di configurazione che nessuno sa spiegare.
  • Salvare una copia dei log e della configurazione prima della patch. Le impostazioni di solito sopravvivono a un aggiornamento, quindi un account aggiunto prima resta lì finché qualcuno non lo elimina. La patch chiude la porta. Non vi dice chi è entrato.

Se non potete applicare la patch stanotte

Fortinet indica una soluzione temporanea con tre opzioni:

  • Disattivare la funzione IBE nell'interfaccia grafica (Encryption, poi IBE, poi disattivare IBE Service) o da riga di comando.
  • Oppure bloccare l'accesso da internet all'interfaccia webmail di FortiMail, o limitarlo a una rete privata fidata.
  • Oppure, se davanti all'apparato c'è un web application firewall, bloccare le richieste POST verso /ibe che contengono ../ .

Disattivare IBE interrompe l'invio cifrato tramite quella funzione, quindi se un reparto ne dipende, concordate con esso un'alternativa temporanea. Una soluzione temporanea restringe chi può raggiungere la falla. Non sostituisce l'aggiornamento e non elimina la necessità di verificare cosa è successo prima.

Il danno vero arriva alla finanza settimane dopo

Copiare la posta non è l'obiettivo in sé. Chi legge la vostra corrispondenza con i fornitori scopre chi invia le fatture, quando, in che formato e quali ordini d'acquisto sono in attesa di pagamento. È esattamente il materiale che serve alla frode di deviazione delle fatture: un messaggio che sembra arrivare dal fornitore, dentro una conversazione reale, che chiede di inviare il prossimo pagamento su un nuovo conto bancario.

Fermare questo tipo di frode non richiede tecnologia. Richiede una regola che il vostro reparto finanza segua da oggi:

  • Il conto bancario di un fornitore non si cambia mai sulla base di una sola email, per quanto autentica sembri.
  • Verificare per telefono a un numero già presente nell'anagrafica del fornitore, mai a un numero indicato nel messaggio stesso.
  • Una modifica alle coordinate bancarie di un fornitore richiede l'approvazione di una seconda persona diversa da chi l'ha inserita, e il sistema registra chi l'ha modificata e quando.
  • Il primo pagamento su un nuovo conto bancario riceve un controllo più attento degli altri.

Abbiamo spiegato come integrare nel sistema il percorso di modifica delle coordinate bancarie nel nostro articolo sui cicli programmati di pagamento ai fornitori e sulla riconciliazione degli estratti conto.

Se risulta che dei messaggi sono stati copiati

Se il vostro team trova un account di archiviazione sconosciuto o prove che dei messaggi sono stati copiati, trattatelo come una violazione dei dati, non come un errore di configurazione, perché la posta di solito contiene dati personali: nomi, numeri di cellulare e indirizzi dei clienti. La guida procedurale dell'Autorità Saudita per i Dati e l'Intelligenza Artificiale (SDAIA) sugli incidenti di violazione dei dati personali impone al titolare di notificare l'autorità competente entro 72 ore dal momento in cui viene a conoscenza di un incidente che possa danneggiare i dati o le persone a cui appartengono, o entrare in conflitto con i loro diritti o interessi, e di notificare gli interessati coinvolti senza ingiustificato ritardo se l'incidente danneggia i loro dati o entra in conflitto con i loro diritti o interessi. Avvisate anche i fornitori e i clienti la cui corrispondenza è stata esposta, perché potrebbero ricevere messaggi fraudolenti a nome della vostra azienda.

Il punto di vista di Origami

Sviluppiamo sistemi gestionali per le imprese. Non vendiamo né gestiamo apparati di posta. Ma ogni sistema che sviluppiamo invia email: fatture, conferme d'ordine, estratti conto. A nostro avviso, la possibilità di copiare la posta aziendale merita la stessa attenzione dell'accesso al sistema contabile, perché la fattura e la richiesta di modifica delle coordinate bancarie viaggiano entrambe via email prima di arrivare al sistema.

Leggiamo questa falla per gli imprenditori sauditi in due modi. Primo, gli stessi apparati di sicurezza sono diventati un bersaglio ricorrente, quindi il dispositivo che avete comprato per proteggere la vostra posta ha bisogno di qualcuno che ne segua gli avvisi e lo aggiorni come qualsiasi altro sistema. Secondo, la risposta migliore alla corrispondenza rubata non è solo tecnica: una regola di verifica telefonica in finanza sventa la frode costruita sulla posta rubata, anche se l'intrusione non viene mai scoperta.

In sintesi

  • Se la vostra azienda usa FortiMail, scoprite oggi la versione e aggiornate a 8.0.2, 7.6.7, 7.4.9 o successiva, e portate il ramo 7.2 a 7.4 o successivo.
  • Fino all'aggiornamento: disattivate IBE o bloccate l'accesso da internet all'interfaccia webmail.
  • Controllate gli account e le policy di archiviazione, cercate i due indirizzi pubblicati e salvate i log prima della patch.
  • Dite oggi alla finanza: nessuna modifica al conto bancario di un fornitore senza verifica telefonica a un numero noto e un secondo approvatore.
  • Se i messaggi copiati contenevano dati personali e la violazione può danneggiare le persone coinvolte o entrare in conflitto con i loro diritti o interessi, il termine per notificare l'autorità competente è di 72 ore da quando si viene a conoscenza dell'incidente.

Fonti