Em 1 de outubro de 2026 a Fortinet publicou um comunicado sobre uma falha no FortiMail, o gateway de segurança de e-mail que muitas empresas colocam na frente de suas caixas de correio para inspecionar o e-mail de entrada e de saída. A falha, CVE-2026-104286, tem nota 9.8 de 10, pode ser explorada por um atacante sem conta e sem senha, e a Fortinet diz que ela está sendo explorada ativamente. No mesmo dia, a Autoridade Nacional de Cibersegurança da Arábia Saudita (NCA) emitiu o alerta 2026-7895 com gravidade Crítica, e a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) a adicionou ao seu catálogo de vulnerabilidades exploradas conhecidas.

Por que esta falha importa à diretoria antes da TI

Na semana passada escrevemos sobre uma falha explorada no gerenciador de rede de filiais da Cisco e sobre a questão de quem aplica os patches nos sistemas gerenciados da sua empresa. Esta se diferencia de um jeito que importa à diretoria antes da TI: entre os indicadores de comprometimento que a Fortinet publicou há uma linha de log mostrando que o atacante adicionou uma conta de arquivamento de e-mail cujo destino é um servidor externo. Aqui o risco não para no equipamento. Ele chega ao próprio e-mail da empresa.

O que a Fortinet publicou

  • Produto: FortiMail, o gateway de segurança de e-mail da Fortinet.
  • A falha: uma fraqueza de travessia de caminho (path traversal) combinada com tratamento inadequado de bytes NULL nas requisições, que permite que uma requisição HTTP ou HTTPS manipulada grave arquivos no próprio sistema do equipamento. A Fortinet classifica o impacto como execução de código ou comandos não autorizados.
  • Pré-requisito: nenhum. Um atacante remoto não autenticado, com nota CVSS de 9.8 de 10.
  • Situação: explorada ativamente segundo a Fortinet, e descoberta internamente pela sua própria equipe de segurança.
  • A correção: quando o comunicado saiu, ainda não havia atualizações disponíveis, e a SecurityWeek informou em 2 de outubro que as correções viriam em próximas versões, sem data de lançamento. Depois, as notas de versão da Fortinet datam a versão 7.6.7 de 2 de outubro e as versões 7.4.9 e 8.0.2 de 3 de outubro, e em 5 de outubro a Fortinet atualizou a seção de solução do comunicado. As versões corrigidas estão na tabela abaixo.
  • Alerta local: alerta 2026-7895 da Autoridade Nacional de Cibersegurança, datado de 1 de outubro de 2026, gravidade Crítica, recomendando que os produtos afetados sejam atualizados.
  • O prazo nos EUA: a CISA deu às agências federais dos EUA até 4 de outubro, três dias, e submeteu a falha aos seus requisitos de triagem forense. É a oitava vulnerabilidade da Fortinet que a agência adiciona ao seu catálogo desde o início de 2026.

Versões afetadas e corrigidas, segundo o comunicado:

Ramo de versãoVersões afetadasCorreção
8.08.0.0 até 8.0.18.0.2 ou posterior
7.67.6.0 até 7.6.67.6.7 ou posterior
7.47.4.0 até 7.4.87.4.9 ou posterior
7.27.2.0 até 7.2.9Migrar para o ramo 7.4 ou posterior

Repare na última linha: o ramo 7.2 não recebe correção dentro do próprio ramo. Ele precisa migrar para outro ramo, o que exige planejamento, mas não pode esperar.

Por que o gateway de e-mail importa tanto

O gateway de e-mail fica entre a internet e as caixas de correio da sua equipe, então toda mensagem de entrada e de saída passa por ele: cotações, faturas de fornecedores, contratos, correspondência bancária e pedidos de alteração de dados bancários. É por isso que ele tem amplos poderes sobre o e-mail. É o sistema que inspeciona, coloca em quarentena, criptografa e arquiva as mensagens.

O caminho que a falha explora pertence ao recurso IBE, criptografia baseada em identidade, que o FortiMail usa para enviar mensagens criptografadas que os destinatários abrem por meio de um portal web. Em muitas configurações esse portal é acessível pela internet para que destinatários de fora da empresa possam usá-lo.

O rastro que sua equipe deve procurar: uma conta de arquivamento que ninguém criou

Junto com o comunicado, a Fortinet publicou indicadores de comprometimento. Eles incluem dois endereços IP, 79.141.169.187 e 45.129.0.192, e uma linha do log de eventos do sistema mostrando a inclusão de uma conta de arquivamento chamada archive234, com um servidor remoto como destino: o mesmo endereço, 79.141.169.187, em um diretório chamado /uploads. A mesma linha mostra que a alteração foi feita com o nome de usuário admin, pela linha de comando.

Para entender o que essa linha significa: o recurso de arquivamento do FortiMail guarda as mensagens arquivadas em contas de arquivamento, e cada conta tem um destino. Ele pode ser local, no disco do equipamento ou em um servidor de armazenamento em rede, ou remoto, em um servidor ao qual o equipamento se conecta por FTP ou SFTP. Quais mensagens são arquivadas é decidido por políticas de arquivamento separadas. Assim, uma conta de arquivamento apontando para o servidor do atacante se torna, assim que uma política de arquivamento é vinculada a ela, uma rota para copiar mensagens para fora da empresa. O comunicado não diz se algum e-mail foi de fato copiado nos casos encontrados.

O que pedir à sua equipe de TI ou ao seu prestador de serviços:

  • Revisar todas as contas e políticas de arquivamento no equipamento, e perguntar sobre qualquer destino remoto que ninguém na empresa reconheça.
  • Procurar nos logs os dois endereços publicados, e uma conta chamada archive234 ou qualquer conta de arquivamento recente cujo criador seja desconhecido.
  • Revisar as contas de administrador no equipamento e qualquer alteração de configuração que ninguém consiga explicar.
  • Salvar uma cópia dos logs e da configuração antes de aplicar o patch. As configurações costumam sobreviver a uma atualização, então uma conta adicionada antes continua lá até que alguém a exclua. O patch fecha a porta. Ele não diz quem entrou por ela.

Se você não puder aplicar o patch hoje à noite

A Fortinet lista uma solução alternativa com três opções:

  • Desativar o recurso IBE na interface gráfica (Encryption, depois IBE, depois desligar IBE Service) ou pela linha de comando.
  • Ou bloquear o acesso pela internet à interface de webmail do FortiMail, ou limitá-lo a uma rede privada confiável.
  • Ou, se houver um firewall de aplicações web na frente do equipamento, bloquear requisições POST para /ibe que contenham ../ .

Desativar o IBE interrompe o envio criptografado por esse recurso, então, se algum departamento depende dele, combine uma alternativa temporária com ele. Uma solução alternativa reduz quem consegue alcançar a falha. Ela não substitui a atualização e não elimina a necessidade de verificar o que aconteceu antes.

O dano real chega ao financeiro semanas depois

Copiar o e-mail não é o objetivo em si. Quem lê sua correspondência com fornecedores descobre quem envia faturas, quando, em que formato e quais pedidos de compra estão aguardando pagamento. Esse é exatamente o material de que a fraude de redirecionamento de faturas precisa: uma mensagem que parece vir do fornecedor, dentro de uma conversa real, pedindo que o próximo pagamento vá para uma nova conta bancária.

Impedir esse tipo de fraude não exige tecnologia. Exige uma regra que sua equipe financeira siga a partir de hoje:

  • A conta bancária de um fornecedor nunca é alterada com base apenas em um e-mail, por mais autêntico que pareça.
  • Verificar por telefone em um número que já esteja no cadastro do fornecedor, nunca em um número informado na própria mensagem.
  • Uma alteração nos dados bancários de um fornecedor precisa da aprovação de uma segunda pessoa, diferente de quem a registrou, e o sistema registra quem alterou e quando.
  • O primeiro pagamento para uma nova conta bancária recebe uma revisão mais cuidadosa que os demais.

Explicamos como incorporar o fluxo de alteração de dados bancários ao sistema em nosso artigo sobre lotes programados de pagamento a fornecedores e conciliação de extratos.

Se ficar comprovado que mensagens foram copiadas

Se sua equipe encontrar uma conta de arquivamento desconhecida ou evidências de que mensagens foram copiadas, trate isso como um vazamento de dados, não como um erro de configuração, porque o e-mail costuma conter dados pessoais: nomes, números de celular e endereços de clientes. O guia de procedimentos da Autoridade Saudita de Dados e Inteligência Artificial (SDAIA) sobre incidentes de violação de dados pessoais exige que o controlador notifique a autoridade competente em até 72 horas após tomar conhecimento de um incidente que possa prejudicar os dados ou as pessoas a quem pertencem, ou conflitar com seus direitos ou interesses, e que notifique os titulares afetados sem demora injustificada se o incidente prejudicar seus dados ou conflitar com seus direitos ou interesses. Avise também os fornecedores e clientes cuja correspondência foi exposta, porque mensagens fraudulentas com o nome da sua empresa podem chegar até eles.

A visão da Origami

Desenvolvemos sistemas de gestão empresarial. Não vendemos nem operamos equipamentos de e-mail. Mas todo sistema que desenvolvemos envia e-mail: faturas, confirmações de pedidos, extratos de conta. Na nossa visão, a capacidade de copiar o e-mail da empresa merece o mesmo escrutínio que o acesso ao sistema contábil, porque a fatura e o pedido de alteração de dados bancários passam pelo e-mail antes de chegarem ao sistema.

Lemos esta falha para os empresários sauditas de duas formas. Primeiro, os próprios equipamentos de segurança se tornaram um alvo recorrente, então o dispositivo que você comprou para proteger seu e-mail precisa de alguém que acompanhe seus alertas e o atualize como qualquer outro sistema. Segundo, a melhor resposta à correspondência roubada não é apenas técnica: uma regra de verificação por telefone no financeiro derrota a fraude baseada em e-mail roubado, mesmo que a invasão nunca seja descoberta.

Pontos principais

  • Se sua empresa usa FortiMail, descubra hoje a versão e atualize para 8.0.2, 7.6.7, 7.4.9 ou posterior, e migre o ramo 7.2 para 7.4 ou posterior.
  • Até a atualização: desative o IBE ou bloqueie o acesso pela internet à interface de webmail.
  • Revise as contas e políticas de arquivamento, procure os dois endereços publicados e salve os logs antes de aplicar o patch.
  • Avise o financeiro hoje: nenhuma alteração na conta bancária de um fornecedor sem verificação por telefone em um número conhecido e um segundo aprovador.
  • Se as mensagens copiadas continham dados pessoais e o vazamento puder prejudicar as pessoas envolvidas ou conflitar com seus direitos ou interesses, o prazo para notificar a autoridade competente é de 72 horas a partir do conhecimento do incidente.

Fontes