Эксплуатируемая уязвимость FortiMail: самый явный след — учётная запись архива почты, направленная на сервер злоумышленника

1 октября 2026 года Fortinet опубликовала бюллетень об уязвимости в FortiMail — шлюзе безопасности электронной почты, который многие компании ставят перед своими почтовыми ящиками для проверки входящей и исходящей почты. Уязвимость CVE-2026-104286 оценена в 9.8 из 10, может эксплуатироваться злоумышленником без учётной записи и без пароля, и, по словам Fortinet, уже активно эксплуатируется. В тот же день Национальное управление кибербезопасности Саудовской Аравии (NCA) выпустило предупреждение 2026-7895 с уровнем критичности «Критический», а Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) добавило её в свой каталог известных эксплуатируемых уязвимостей.

Почему эта уязвимость важна для руководства раньше, чем для ИТ

На прошлой неделе мы писали об эксплуатируемой уязвимости в менеджере филиальных сетей Cisco и о вопросе, кто устанавливает патчи на управляемые системы в вашей компании. Эта отличается тем, что важно для руководства раньше, чем для ИТ: среди опубликованных Fortinet индикаторов компрометации есть строка журнала, показывающая, что злоумышленник добавил учётную запись архива почты, назначением которой является внешний сервер. Риск здесь не ограничивается устройством. Он доходит до самой почты компании.

Что опубликовала Fortinet

• Продукт: FortiMail, шлюз безопасности электронной почты Fortinet.
• Уязвимость: слабость типа «обход пути» (path traversal) в сочетании с неправильной обработкой NULL-байтов в запросах, которая позволяет специально сформированному запросу HTTP или HTTPS записывать файлы в собственную систему устройства. Fortinet оценивает последствия как выполнение несанкционированного кода или команд.
• Предварительное условие: отсутствует. Удалённый злоумышленник без аутентификации, оценка CVSS 9.8 из 10.
• Статус: по данным Fortinet, активно эксплуатируется; обнаружена внутри компании её собственной командой безопасности.
• Исправление: когда вышел бюллетень, обновлений ещё не было, и SecurityWeek 2 октября сообщил, что исправления появятся в будущих версиях без указания даты выпуска. Затем в примечаниях к выпуску Fortinet версия 7.6.7 датирована 2 октября, а версии 7.4.9 и 8.0.2 — 3 октября, и 5 октября Fortinet обновила раздел бюллетеня с решением. Исправленные версии приведены в таблице ниже.
• Местное предупреждение: предупреждение 2026-7895 Национального управления кибербезопасности от 1 октября 2026 года, уровень «Критический», с рекомендацией обновить затронутые продукты.
• Срок в США: CISA дало федеральным ведомствам США срок до 4 октября, три дня, и распространило на уязвимость свои требования к криминалистической сортировке. Это восьмая уязвимость Fortinet, которую агентство добавило в свой каталог с начала 2026 года.

Затронутые и исправленные версии согласно бюллетеню:

Обратите внимание на последнюю строку: ветка 7.2 не получает исправления внутри ветки. Ей нужен переход на другую ветку, что требует планирования, но не может ждать.

Почему почтовый шлюз так важен

Почтовый шлюз стоит между интернетом и почтовыми ящиками ваших сотрудников, поэтому через него проходит каждое входящее и исходящее сообщение: коммерческие предложения, счета поставщиков, договоры, банковская переписка и запросы на изменение банковских реквизитов. Поэтому у него широкие полномочия над почтой. Это система, которая проверяет, помещает в карантин, шифрует и архивирует сообщения.

Путь, который эксплуатирует уязвимость, относится к функции IBE — шифрованию на основе идентификационных данных, которое FortiMail использует для отправки зашифрованных сообщений, открываемых получателями через веб-портал. Во многих конфигурациях этот портал доступен из интернета, чтобы им могли пользоваться получатели за пределами компании.

След, который должна искать ваша команда: учётная запись архива, которую никто не создавал

Вместе с бюллетенем Fortinet опубликовала индикаторы компрометации. Среди них два IP-адреса, 79.141.169.187 и 45.129.0.192, и строка журнала системных событий, показывающая добавление учётной записи архива с именем archive234 с удалённым сервером в качестве назначения: тот же адрес, 79.141.169.187, в каталоге /uploads. Та же строка показывает, что изменение было внесено под именем пользователя admin из командной строки.

Чтобы понять, что означает эта строка: функция архивирования FortiMail хранит архивированные сообщения в учётных записях архива, и у каждой учётной записи есть назначение. Оно может быть локальным — на диске устройства или на сетевом сервере хранения, — или удалённым — на сервере, к которому устройство подключается по FTP или SFTP. Какие сообщения архивируются, определяют отдельные политики архивирования. Поэтому учётная запись архива, направленная на сервер злоумышленника, как только к ней привязана политика архивирования, становится каналом копирования сообщений за пределы компании. В бюллетене не сказано, была ли в обнаруженных случаях действительно скопирована какая-либо почта.

Что попросить у ИТ-отдела или поставщика услуг:

• Проверить каждую учётную запись и политику архивирования на устройстве и выяснить происхождение любого удалённого назначения, которое никто в компании не узнаёт.
• Поискать в журналах два опубликованных адреса, а также учётную запись с именем archive234 или любую недавнюю учётную запись архива, создатель которой неизвестен.
• Проверить учётные записи администраторов на устройстве и любые изменения конфигурации, которые никто не может объяснить.
• Сохранить копию журналов и конфигурации до установки патча. Настройки обычно сохраняются после обновления, поэтому учётная запись, добавленная раньше, остаётся, пока её кто-нибудь не удалит. Патч закрывает дверь. Он не говорит вам, кто через неё прошёл.

Если вы не можете установить патч сегодня ночью

Fortinet приводит обходное решение с тремя вариантами:

• Отключить функцию IBE в графическом интерфейсе (Encryption, затем IBE, затем выключить IBE Service) или из командной строки.
• Или заблокировать доступ из интернета к веб-интерфейсу почты FortiMail либо ограничить его доверенной частной сетью.
• Или, если перед устройством стоит межсетевой экран для веб-приложений, блокировать запросы POST к /ibe, содержащие ../ .

Отключение IBE прекращает зашифрованную доставку через эту функцию, поэтому, если от неё зависит какой-либо отдел, согласуйте с ним временную альтернативу. Обходное решение сужает круг тех, кто может добраться до уязвимости. Оно не заменяет обновление и не отменяет необходимости проверить, что произошло до него.

Настоящий ущерб доходит до финансов через несколько недель

Копирование почты само по себе не цель. Тот, кто читает вашу переписку с поставщиками, узнаёт, кто присылает счета, когда, в каком формате и какие заказы на закупку ждут оплаты. Это именно тот материал, который нужен для мошенничества с перенаправлением счетов: письмо, которое выглядит так, будто пришло от поставщика, внутри реальной переписки, с просьбой перевести следующий платёж на новый банковский счёт.

Чтобы остановить такое мошенничество, не нужны технологии. Нужно правило, которому ваш финансовый отдел следует начиная с сегодняшнего дня:

• Банковский счёт поставщика никогда не меняется только на основании электронного письма, каким бы подлинным оно ни выглядело.
• Проверка по телефону — по номеру, который уже есть в карточке поставщика, и никогда по номеру, указанному в самом письме.
• Изменение банковских реквизитов поставщика требует одобрения второго сотрудника, а не того, кто его внёс, и система фиксирует, кто и когда его изменил.
• Первый платёж на новый банковский счёт проверяется внимательнее остальных.

Как встроить процесс изменения банковских реквизитов в систему, мы объяснили в нашей статье о плановых платёжных циклах поставщикам и сверке выписок.

Если окажется, что сообщения были скопированы

Если ваша команда найдёт незнакомую учётную запись архива или доказательства копирования сообщений, относитесь к этому как к утечке данных, а не как к ошибке конфигурации, потому что электронная почта обычно содержит персональные данные: имена, номера мобильных телефонов и адреса клиентов. Процедурное руководство Саудовского управления по данным и искусственному интеллекту (SDAIA) об инцидентах утечки персональных данных обязывает оператора уведомить компетентный орган в течение 72 часов с момента, когда ему стало известно об инциденте, который может причинить вред данным или людям, которым они принадлежат, или противоречить их правам или интересам, а также уведомить затронутых субъектов данных без неоправданной задержки, если инцидент причиняет вред их данным или противоречит их правам или интересам. Сообщите также поставщикам и клиентам, чья переписка оказалась раскрыта, потому что им могут прийти мошеннические письма от имени вашей компании.

Позиция Origami

Мы создаём бизнес-системы. Мы не продаём и не обслуживаем почтовые устройства. Но каждая система, которую мы создаём, отправляет почту: счета, подтверждения заказов, выписки по счёту. По нашему мнению, возможность копировать корпоративную почту заслуживает того же контроля, что и доступ к бухгалтерской системе, потому что и счёт, и запрос на изменение банковских реквизитов проходят через электронную почту, прежде чем попасть в систему.

Для саудовских владельцев бизнеса мы видим в этой уязвимости два урока. Во-первых, сами средства защиты стали постоянной мишенью, поэтому устройству, которое вы купили для защиты почты, нужен человек, который следит за его предупреждениями и обновляет его, как любую другую систему. Во-вторых, лучший ответ на украденную переписку не только технический: правило проверки по телефону в финансовом отделе срывает мошенничество, построенное на украденной почте, даже если взлом так и не будет обнаружен.

Главное

• Если ваша компания использует FortiMail, узнайте сегодня его версию и обновитесь до 8.0.2, 7.6.7, 7.4.9 или новее, а ветку 7.2 переведите на 7.4 или новее.
• До обновления: отключите IBE или заблокируйте доступ из интернета к веб-интерфейсу почты.
• Проверьте учётные записи и политики архивирования, поищите два опубликованных адреса и сохраните журналы до установки патча.
• Скажите финансовому отделу сегодня: никаких изменений банковского счёта поставщика без проверки по телефону по известному номеру и второго утверждающего.
• Если скопированные сообщения содержали персональные данные и утечка может причинить вред затронутым людям или противоречить их правам или интересам, срок уведомления компетентного органа составляет 72 часа с момента, когда стало известно об инциденте.

Источники

• Fortinet: бюллетень FG-IR-26-175 по CVE-2026-104286 (опубликован 1 октября 2026 года, обновлён 5 октября), источник версий, обходного решения и индикаторов компрометации
• Национальное управление кибербезопасности (NCA): предупреждение о Fortinet 2026-7895 (1 октября 2026 года)
• CISA: в каталог добавлена одна известная эксплуатируемая уязвимость (1 октября 2026 года), и сам каталог
• SecurityWeek: Exploited Fortinet FortiMail Zero-Day Calls for Urgent Action (2 октября 2026 года)
• Fortinet: руководство администратора FortiMail, настройка учётных записей архивирования почты
• Fortinet: примечания к выпуску FortiMail для 7.6.7, 7.4.9 и 8.0.2
• Саудовское управление по данным и искусственному интеллекту (SDAIA): процедурное руководство по инцидентам утечки персональных данных