Kelemahan FortiMail yang Dieksploitasi: Kesan Paling Jelas ialah Akaun Arkib E-mel yang Dihalakan ke Pelayan Penyerang

Pada 1 Oktober 2026 Fortinet menerbitkan nasihat keselamatan tentang kelemahan dalam FortiMail, get laluan keselamatan e-mel yang diletakkan oleh banyak syarikat di hadapan peti mel mereka untuk memeriksa e-mel masuk dan keluar. Kelemahan itu, CVE-2026-104286, dinilai 9.8 daripada 10, boleh dieksploitasi oleh penyerang tanpa akaun dan tanpa kata laluan, dan Fortinet menyatakan ia sedang dieksploitasi secara aktif. Pada hari yang sama, Pihak Berkuasa Keselamatan Siber Kebangsaan Arab Saudi (NCA) mengeluarkan amaran 2026-7895 dengan tahap keterukan Kritikal, dan Agensi Keselamatan Siber dan Keselamatan Infrastruktur AS (CISA) menambahkannya ke dalam katalog kelemahan yang diketahui telah dieksploitasi.

Mengapa kelemahan ini penting kepada pengurusan sebelum IT

Minggu lalu kami menulis tentang kelemahan yang dieksploitasi dalam pengurus rangkaian cawangan Cisco dan persoalan tentang siapa yang menampal sistem terurus dalam syarikat anda. Kelemahan ini berbeza dalam cara yang penting kepada pengurusan sebelum IT: antara penunjuk kompromi yang diterbitkan Fortinet terdapat satu baris log yang menunjukkan penyerang telah menambah akaun arkib e-mel yang destinasinya ialah pelayan luar. Risiko di sini tidak berhenti pada peranti. Ia sampai kepada e-mel syarikat itu sendiri.

Apa yang diterbitkan oleh Fortinet

• Produk: FortiMail, get laluan keselamatan e-mel Fortinet.
• Kelemahan: kelemahan path traversal yang digabungkan dengan pengendalian bait NULL yang tidak betul dalam permintaan, yang membolehkan permintaan HTTP atau HTTPS yang direka khas menulis fail ke dalam sistem peranti itu sendiri. Fortinet menilai kesannya sebagai pelaksanaan kod atau arahan tanpa kebenaran.
• Prasyarat: tiada. Penyerang jarak jauh yang tidak disahkan, dengan skor CVSS 9.8 daripada 10.
• Status: dieksploitasi secara aktif menurut Fortinet, dan ditemui secara dalaman oleh pasukan keselamatannya sendiri.
• Pembaikan: semasa nasihat itu dikeluarkan, belum ada kemas kini tersedia, dan SecurityWeek melaporkan pada 2 Oktober bahawa pembaikan akan datang dalam versi akan datang tanpa tarikh keluaran diberikan. Nota keluaran Fortinet kemudiannya mencatatkan versi 7.6.7 bertarikh 2 Oktober dan versi 7.4.9 dan 8.0.2 bertarikh 3 Oktober, dan pada 5 Oktober Fortinet mengemas kini bahagian penyelesaian dalam nasihat itu. Versi yang telah dibaiki terdapat dalam jadual di bawah.
• Amaran tempatan: amaran 2026-7895 Pihak Berkuasa Keselamatan Siber Kebangsaan, bertarikh 1 Oktober 2026, tahap keterukan Kritikal, yang mengesyorkan agar produk yang terjejas dikemas kini.
• Tarikh akhir di AS: CISA memberi agensi persekutuan AS tempoh sehingga 4 Oktober, tiga hari, dan meletakkan kelemahan ini di bawah keperluan triaj forensiknya. Ini ialah kelemahan Fortinet kelapan yang ditambah oleh agensi itu ke dalam katalognya sejak awal 2026.

Versi yang terjejas dan yang telah dibaiki, menurut nasihat itu:

Perhatikan baris terakhir: cabang 7.2 tidak menerima pembaikan dalam cabang itu sendiri. Ia perlu berpindah ke cabang lain, yang memerlukan perancangan tetapi tidak boleh ditangguhkan.

Mengapa get laluan e-mel begitu penting

Get laluan e-mel terletak di antara internet dan peti mel kakitangan anda, jadi setiap mesej masuk dan keluar melaluinya: sebut harga, invois pembekal, kontrak, surat-menyurat bank, dan permintaan untuk menukar butiran bank. Itulah sebabnya ia mempunyai kuasa yang luas ke atas e-mel. Ia ialah sistem yang memeriksa, mengkuarantin, menyulitkan dan mengarkibkan mesej.

Laluan yang dieksploitasi oleh kelemahan ini tergolong dalam ciri IBE, penyulitan berasaskan identiti, yang digunakan FortiMail untuk menghantar mesej tersulit yang dibuka oleh penerima melalui portal web. Dalam banyak persediaan, portal itu boleh dicapai dari internet supaya penerima di luar syarikat boleh menggunakannya.

Kesan yang perlu dicari pasukan anda: akaun arkib yang tiada siapa cipta

Bersama nasihat itu, Fortinet menerbitkan penunjuk kompromi. Ia termasuk dua alamat IP, 79.141.169.187 dan 45.129.0.192, dan satu baris log peristiwa sistem yang menunjukkan akaun arkib bernama archive234 ditambah, dengan pelayan jauh sebagai destinasinya: alamat yang sama, 79.141.169.187, dalam direktori bernama /uploads. Baris yang sama menunjukkan perubahan itu dibuat di bawah nama pengguna admin, dari baris arahan.

Untuk memahami maksud baris itu: ciri pengarkiban FortiMail menyimpan mesej yang diarkibkan dalam akaun arkib, dan setiap akaun mempunyai destinasi. Destinasi itu boleh jadi setempat, pada cakera peranti atau pelayan storan rangkaian, atau jauh, pada pelayan yang disambungkan oleh peranti melalui FTP atau SFTP. Mesej mana yang diarkibkan ditentukan oleh dasar pengarkiban yang berasingan. Jadi akaun arkib yang dihalakan ke pelayan penyerang menjadi, sebaik sahaja dasar pengarkiban dikaitkan dengannya, laluan untuk menyalin mesej keluar dari syarikat. Nasihat itu tidak menyatakan sama ada sebarang e-mel benar-benar disalin dalam kes yang ditemui.

Perkara yang perlu diminta daripada pasukan IT atau penyedia perkhidmatan anda:

• Semak setiap akaun arkib dan dasar pengarkiban pada peranti, dan tanya tentang sebarang destinasi jauh yang tidak dikenali oleh sesiapa dalam syarikat.
• Cari dalam log dua alamat yang diterbitkan, dan akaun bernama archive234 atau mana-mana akaun arkib baharu yang penciptanya tidak diketahui.
• Semak akaun pentadbir pada peranti dan sebarang perubahan konfigurasi yang tidak dapat dijelaskan oleh sesiapa.
• Simpan salinan log dan konfigurasi sebelum menampal. Tetapan biasanya kekal selepas naik taraf, jadi akaun yang ditambah sebelumnya kekal di situ sehingga seseorang memadamkannya. Tampalan menutup pintu. Ia tidak memberitahu anda siapa yang telah masuk melaluinya.

Jika anda tidak dapat menampal malam ini

Fortinet menyenaraikan penyelesaian sementara dengan tiga pilihan:

• Nyahdayakan ciri IBE dalam GUI (Encryption, kemudian IBE, kemudian matikan IBE Service) atau dari baris arahan.
• Atau sekat akses internet ke antara muka webmail FortiMail, atau hadkan kepada rangkaian peribadi yang dipercayai.
• Atau, jika terdapat tembok api aplikasi web di hadapan peranti, sekat permintaan POST ke /ibe yang mengandungi ../ .

Menyahdayakan IBE menghentikan penghantaran tersulit melalui ciri itu, jadi jika ada jabatan yang bergantung padanya, persetujui alternatif sementara dengan mereka. Penyelesaian sementara mengecilkan siapa yang boleh mencapai kelemahan itu. Ia tidak menggantikan naik taraf, dan tidak menghapuskan keperluan untuk memeriksa apa yang berlaku sebelumnya.

Kerugian sebenar sampai ke bahagian kewangan beberapa minggu kemudian

Menyalin e-mel bukanlah matlamat itu sendiri. Sesiapa yang membaca surat-menyurat anda dengan pembekal akan mengetahui siapa yang menghantar invois, bila, dalam format apa, dan pesanan belian mana yang sedang menunggu bayaran. Itulah bahan yang diperlukan oleh penipuan pengalihan invois: mesej yang kelihatan datang daripada pembekal, dalam perbualan sebenar, meminta bayaran seterusnya dihantar ke akaun bank baharu.

Menghentikan penipuan jenis ini tidak memerlukan teknologi. Ia memerlukan peraturan yang dipatuhi pasukan kewangan anda mulai hari ini:

• Akaun bank pembekal tidak sekali-kali ditukar hanya berdasarkan e-mel, betapa tulen pun ia kelihatan.
• Sahkan melalui telefon ke nombor yang sudah ada dalam fail pembekal, jangan sekali-kali ke nombor yang diberikan dalam mesej itu sendiri.
• Perubahan pada butiran bank pembekal memerlukan kelulusan orang kedua selain orang yang memasukkannya, dan sistem merekodkan siapa yang menukarnya dan bila.
• Bayaran pertama ke akaun bank baharu disemak dengan lebih teliti berbanding yang lain.

Kami telah menerangkan cara membina aliran perubahan butiran bank ke dalam sistem dalam artikel kami tentang kitaran bayaran pembekal berjadual dan penyesuaian penyata.

Jika ternyata mesej telah disalin

Jika pasukan anda menemui akaun arkib yang tidak dikenali atau bukti bahawa mesej telah disalin, anggaplah ia sebagai pelanggaran data, bukan kesilapan konfigurasi, kerana e-mel biasanya mengandungi data peribadi: nama, nombor telefon bimbit dan alamat pelanggan. Panduan prosedur Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA) tentang insiden pelanggaran data peribadi mewajibkan pengawal untuk memaklumkan pihak berkuasa yang berwibawa dalam tempoh 72 jam selepas mengetahui insiden yang boleh memudaratkan data atau orang yang memilikinya, atau bercanggah dengan hak atau kepentingan mereka, dan memaklumkan subjek data yang terjejas tanpa kelewatan yang tidak wajar jika insiden itu memudaratkan data mereka atau bercanggah dengan hak atau kepentingan mereka. Maklumkan juga pembekal dan pelanggan yang surat-menyurat mereka terdedah, kerana mesej penipuan yang membawa nama syarikat anda mungkin sampai kepada mereka.

Pandangan Origami

Kami membina sistem perniagaan. Kami tidak menjual atau mengendalikan peranti e-mel. Tetapi setiap sistem yang kami bina menghantar e-mel: invois, pengesahan pesanan, penyata akaun. Pada pandangan kami, keupayaan untuk menyalin e-mel syarikat wajar diteliti sama seperti akses kepada sistem perakaunan, kerana invois dan permintaan perubahan butiran bank kedua-duanya bergerak melalui e-mel sebelum sampai ke sistem.

Kami membaca kelemahan ini untuk pemilik perniagaan Saudi dalam dua cara. Pertama, peranti keselamatan itu sendiri telah menjadi sasaran berulang, jadi peranti yang anda beli untuk melindungi e-mel anda memerlukan seseorang yang mengikuti amarannya dan mengemas kininya seperti sistem lain. Kedua, jawapan terbaik kepada surat-menyurat yang dicuri bukan semata-mata teknikal: peraturan pengesahan telefon di bahagian kewangan menggagalkan penipuan yang dibina daripada e-mel curi, walaupun pencerobohan itu tidak pernah ditemui.

Perkara utama

• Jika syarikat anda menggunakan FortiMail, ketahui versinya hari ini dan naik taraf ke 8.0.2, 7.6.7, 7.4.9 atau yang lebih baharu, dan pindahkan cabang 7.2 ke 7.4 atau yang lebih baharu.
• Sehingga naik taraf: nyahdayakan IBE, atau sekat akses internet ke antara muka webmail.
• Semak akaun dan dasar arkib, cari dua alamat yang diterbitkan, dan simpan log sebelum menampal.
• Beritahu bahagian kewangan hari ini: tiada perubahan pada akaun bank pembekal tanpa pengesahan telefon ke nombor yang diketahui dan pelulus kedua.
• Jika mesej yang disalin mengandungi data peribadi dan pelanggaran itu boleh memudaratkan orang yang berkenaan atau bercanggah dengan hak atau kepentingan mereka, tarikh akhir untuk memaklumkan pihak berkuasa yang berwibawa ialah 72 jam dari saat mengetahui insiden itu.

Sumber

• Fortinet: nasihat FG-IR-26-175 untuk CVE-2026-104286 (diterbitkan 1 Oktober 2026, dikemas kini 5 Oktober), sumber versi, penyelesaian sementara dan penunjuk kompromi
• Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA): amaran Fortinet 2026-7895 (1 Oktober 2026)
• CISA: satu kelemahan yang diketahui telah dieksploitasi ditambah ke dalam katalog (1 Oktober 2026), dan katalog itu sendiri
• SecurityWeek: Exploited Fortinet FortiMail Zero-Day Calls for Urgent Action (2 Oktober 2026)
• Fortinet: Panduan Pentadbiran FortiMail, mengkonfigurasi akaun pengarkiban e-mel
• Fortinet: nota keluaran FortiMail untuk 7.6.7, 7.4.9 dan 8.0.2
• Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA): Panduan Prosedur Insiden Pelanggaran Data Peribadi