FortiMail'de istismar edilen açık: en net iz, saldırganın sunucusuna yönlendirilmiş bir e-posta arşiv hesabı

Fortinet 1 Ekim 2026 tarihinde, birçok şirketin gelen ve giden e-postaları denetlemek için posta kutularının önüne yerleştirdiği e-posta güvenlik ağ geçidi FortiMail'deki bir açık için güvenlik bülteni yayımladı. CVE-2026-104286 numaralı açık 10 üzerinden 9.8 puanla derecelendiriliyor, hesabı ve parolası olmayan bir saldırgan tarafından istismar edilebiliyor ve Fortinet açığın aktif olarak istismar edildiğini söylüyor. Aynı gün Suudi Arabistan Ulusal Siber Güvenlik Otoritesi (NCA) Kritik önem derecesinde 2026-7895 numaralı uyarıyı yayımladı ve ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) açığı bilinen istismar edilmiş zafiyetler kataloğuna ekledi.

Bu açık neden BT'den önce yönetimi ilgilendiriyor

Geçen hafta Cisco'nun şube ağı yöneticisinde istismar edilen bir açık ve şirketinizdeki yönetilen sistemlere yamayı kimin uyguladığı sorusu hakkında yazmıştık. Bu açık, BT'den önce yönetimi ilgilendiren bir noktada farklı: Fortinet'in yayımladığı ihlal göstergeleri arasında, saldırganın hedefi harici bir sunucu olan bir e-posta arşiv hesabı eklediğini gösteren bir kayıt satırı var. Buradaki risk cihazda bitmiyor. Şirketin e-postasının kendisine uzanıyor.

Fortinet ne yayımladı

• Ürün: FortiMail, Fortinet'in e-posta güvenlik ağ geçidi.
• Açık: isteklerdeki NULL baytların hatalı işlenmesiyle birleşen bir yol geçişi (path traversal) zayıflığı; bu sayede özel hazırlanmış bir HTTP veya HTTPS isteği cihazın kendi sistemine dosya yazabiliyor. Fortinet etkiyi yetkisiz kod veya komut çalıştırma olarak derecelendiriyor.
• Ön koşul: yok. Kimliği doğrulanmamış uzaktan bir saldırgan, 10 üzerinden 9.8 CVSS puanıyla.
• Durum: Fortinet'e göre aktif olarak istismar ediliyor ve şirketin kendi güvenlik ekibi tarafından dahili olarak keşfedildi.
• Düzeltme: bülten yayımlandığında henüz güncelleme yoktu ve SecurityWeek 2 Ekim'de düzeltmelerin yayın tarihi belirtilmeyen gelecek sürümlerde geleceğini bildirdi. Ardından Fortinet'in sürüm notları 7.6.7 sürümünü 2 Ekim'e, 7.4.9 ve 8.0.2 sürümlerini 3 Ekim'e tarihliyor ve 5 Ekim'de Fortinet bültenin çözüm bölümünü güncelledi. Düzeltilmiş sürümler aşağıdaki tabloda.
• Yerel uyarı: Ulusal Siber Güvenlik Otoritesi'nin 1 Ekim 2026 tarihli, Kritik önem derecesindeki 2026-7895 numaralı uyarısı; etkilenen ürünlerin güncellenmesini öneriyor.
• ABD'deki son tarih: CISA, ABD federal kurumlarına 4 Ekim'e kadar, yani üç gün süre verdi ve açığı adli inceleme (forensic triage) gerekliliklerine tabi tuttu. Bu, ajansın 2026 başından bu yana kataloğuna eklediği sekizinci Fortinet zafiyeti.

Bültene göre etkilenen ve düzeltilmiş sürümler:

Son satıra dikkat edin: 7.2 dalı kendi içinde düzeltme almıyor. Başka bir dala geçmesi gerekiyor; bu planlama ister ama bekleyemez.

E-posta ağ geçidi neden bu kadar önemli

E-posta ağ geçidi internet ile çalışanlarınızın posta kutuları arasında durur, bu yüzden gelen ve giden her mesaj ondan geçer: fiyat teklifleri, tedarikçi faturaları, sözleşmeler, banka yazışmaları ve banka bilgisi değişikliği talepleri. Bu nedenle e-posta üzerinde geniş yetkilere sahiptir. Mesajları denetleyen, karantinaya alan, şifreleyen ve arşivleyen sistem odur.

Açığın istismar ettiği yol, FortiMail'in alıcıların bir web portalı üzerinden açtığı şifreli mesajlar göndermek için kullandığı IBE, yani kimlik tabanlı şifreleme özelliğine ait. Birçok kurulumda bu portal, şirket dışındaki alıcıların da kullanabilmesi için internetten erişilebilir durumda.

Ekibinizin araması gereken iz: kimsenin oluşturmadığı bir arşiv hesabı

Fortinet bültenle birlikte ihlal göstergeleri de yayımladı. Bunlar arasında iki IP adresi, 79.141.169.187 ve 45.129.0.192, ve archive234 adlı bir arşiv hesabının eklendiğini gösteren bir sistem olay kaydı satırı var; hesabın hedefi uzak bir sunucu: aynı adres, 79.141.169.187, /uploads adlı bir dizinde. Aynı satır, değişikliğin admin kullanıcı adıyla, komut satırından yapıldığını gösteriyor.

Bu satırın ne anlama geldiğini anlamak için: FortiMail'in arşivleme özelliği arşivlenen mesajları arşiv hesaplarında saklar ve her hesabın bir hedefi vardır. Hedef yerel olabilir, cihazın diskinde veya bir ağ depolama sunucusunda, ya da uzak olabilir, cihazın FTP veya SFTP üzerinden bağlandığı bir sunucuda. Hangi mesajların arşivleneceğine ayrı arşivleme politikaları karar verir. Dolayısıyla saldırganın sunucusuna yönlendirilmiş bir arşiv hesabı, kendisine bir arşivleme politikası bağlandığı anda mesajları şirketin dışına kopyalamanın yolu hâline gelir. Bülten, tespit edilen vakalarda gerçekten e-posta kopyalanıp kopyalanmadığını söylemiyor.

BT ekibinizden veya hizmet sağlayıcınızdan isteyecekleriniz:

• Cihazdaki her arşiv hesabını ve arşivleme politikasını gözden geçirmek, şirkette kimsenin tanımadığı her uzak hedefi sorgulamak.
• Kayıtlarda yayımlanan iki adresi, archive234 adlı bir hesabı veya oluşturanı bilinmeyen yakın tarihli herhangi bir arşiv hesabını aramak.
• Cihazdaki yönetici hesaplarını ve kimsenin açıklayamadığı her yapılandırma değişikliğini gözden geçirmek.
• Yamadan önce kayıtların ve yapılandırmanın bir kopyasını saklamak. Ayarlar genellikle bir yükseltmeden sonra da korunur, bu yüzden önceden eklenmiş bir hesap biri silene kadar yerinde kalır. Yama kapıyı kapatır. Kapıdan kimin girdiğini size söylemez.

Bu gece yama uygulayamıyorsanız

Fortinet üç seçenekli bir geçici çözüm sunuyor:

• IBE özelliğini grafik arayüzden (Encryption, ardından IBE, ardından IBE Service'i kapatın) veya komut satırından devre dışı bırakmak.
• Ya da FortiMail webmail arayüzüne internetten erişimi engellemek veya güvenilir bir özel ağla sınırlamak.
• Ya da cihazın önünde bir web uygulaması güvenlik duvarı varsa, /ibe adresine giden ve ../ içeren POST isteklerini engellemek.

IBE'yi devre dışı bırakmak bu özellik üzerinden şifreli gönderimi durdurur; bir departman buna bağımlıysa onunla geçici bir alternatif üzerinde anlaşın. Geçici çözüm açığa kimin ulaşabileceğini daraltır. Yükseltmenin yerini tutmaz ve öncesinde ne olduğunu kontrol etme ihtiyacını ortadan kaldırmaz.

Asıl zarar finansa haftalar sonra ulaşır

E-postayı kopyalamak tek başına amaç değildir. Tedarikçilerle yazışmalarınızı okuyan biri, kimin fatura gönderdiğini, ne zaman, hangi formatta ve hangi satın alma siparişlerinin ödeme beklediğini öğrenir. Fatura yönlendirme dolandırıcılığının ihtiyaç duyduğu malzeme tam olarak budur: gerçek bir yazışmanın içinde, tedarikçiden geliyormuş gibi görünen ve bir sonraki ödemenin yeni bir banka hesabına yapılmasını isteyen bir mesaj.

Bu tür dolandırıcılığı durdurmak teknoloji gerektirmez. Finans ekibinizin bugünden itibaren uyacağı bir kural gerektirir:

• Bir tedarikçinin banka hesabı, ne kadar gerçek görünürse görünsün, yalnızca bir e-postaya dayanarak asla değiştirilmez.
• Doğrulama, tedarikçinin kaydında zaten bulunan bir numaradan telefonla yapılır, asla mesajın kendisinde verilen bir numaradan değil.
• Bir tedarikçinin banka bilgilerindeki değişiklik, onu giren kişiden farklı ikinci bir kişinin onayını gerektirir ve sistem kimin, ne zaman değiştirdiğini kaydeder.
• Yeni bir banka hesabına yapılan ilk ödeme diğerlerinden daha dikkatli incelenir.

Banka bilgisi değişikliği sürecini sisteme nasıl yerleştireceğinizi planlı tedarikçi ödeme çalıştırmaları ve ekstre mutabakatı hakkındaki yazımızda anlattık.

Mesajların kopyalandığı ortaya çıkarsa

Ekibiniz tanınmayan bir arşiv hesabı veya mesajların kopyalandığına dair kanıt bulursa, bunu bir yapılandırma hatası olarak değil, bir veri ihlali olarak ele alın; çünkü e-posta genellikle kişisel veriler taşır: müşterilerin adları, cep telefonu numaraları ve adresleri. Suudi Veri ve Yapay Zekâ Otoritesi'nin (SDAIA) kişisel veri ihlali olaylarına ilişkin usul rehberi, veri sorumlusunun, verilere veya verilerin ait olduğu kişilere zarar verebilecek ya da onların hak veya menfaatleriyle çelişebilecek bir olaydan haberdar olduktan sonra 72 saat içinde yetkili otoriteye bildirimde bulunmasını ve olay etkilenen kişilerin verilerine zarar verirse ya da hak veya menfaatleriyle çelişirse onlara gereksiz gecikme olmaksızın bildirimde bulunmasını şart koşuyor. Yazışmaları açığa çıkan tedarikçileri ve müşterileri de bilgilendirin, çünkü şirketinizin adını taşıyan dolandırıcılık mesajları onlara ulaşabilir.

Origami'nin görüşü

Biz iş sistemleri geliştiriyoruz. E-posta cihazları satmıyor veya işletmiyoruz. Ancak geliştirdiğimiz her sistem e-posta gönderir: faturalar, sipariş onayları, hesap ekstreleri. Bize göre şirket e-postasını kopyalayabilme yetkisi, muhasebe sistemine erişimle aynı titizliği hak ediyor; çünkü fatura da banka bilgisi değişikliği talebi de sisteme ulaşmadan önce e-postayla gelir.

Bu açığı Suudi işletme sahipleri için iki şekilde okuyoruz. Birincisi, güvenlik cihazlarının kendisi tekrarlayan bir hedef hâline geldi; bu yüzden e-postanızı korumak için satın aldığınız cihazın, uyarılarını takip eden ve onu diğer tüm sistemler gibi güncelleyen birine ihtiyacı var. İkincisi, çalınan yazışmalara en iyi yanıt yalnızca teknik değil: finansta telefonla doğrulama kuralı, ihlal hiç fark edilmese bile çalınan e-postaya dayalı dolandırıcılığı boşa çıkarır.

Öne çıkanlar

• Şirketiniz FortiMail kullanıyorsa sürümünü bugün öğrenin ve 8.0.2, 7.6.7, 7.4.9 veya daha yeni bir sürüme yükseltin; 7.2 dalını 7.4 veya daha yenisine taşıyın.
• Yükseltmeye kadar: IBE'yi devre dışı bırakın veya webmail arayüzüne internetten erişimi engelleyin.
• Arşiv hesaplarını ve politikalarını gözden geçirin, yayımlanan iki adresi arayın ve yamadan önce kayıtları saklayın.
• Finansa bugün söyleyin: bilinen bir numaradan telefonla doğrulama ve ikinci bir onaylayıcı olmadan bir tedarikçinin banka hesabında değişiklik yok.
• Kopyalanan mesajlar kişisel veri içeriyorsa ve ihlal ilgili kişilere zarar verebilecek ya da onların hak veya menfaatleriyle çelişebilecekse, yetkili otoriteye bildirim süresi olaydan haberdar olunduktan itibaren 72 saattir.

Kaynaklar

• Fortinet: CVE-2026-104286 için FG-IR-26-175 numaralı bülten (1 Ekim 2026'da yayımlandı, 5 Ekim'de güncellendi), sürümlerin, geçici çözümün ve ihlal göstergelerinin kaynağı
• Ulusal Siber Güvenlik Otoritesi (NCA): Fortinet uyarısı 2026-7895 (1 Ekim 2026)
• CISA: kataloğa bilinen istismar edilmiş bir zafiyet eklendi (1 Ekim 2026) ve kataloğun kendisi
• SecurityWeek: Exploited Fortinet FortiMail Zero-Day Calls for Urgent Action (2 Ekim 2026)
• Fortinet: FortiMail Yönetim Kılavuzu, e-posta arşiv hesaplarının yapılandırılması
• Fortinet: FortiMail sürüm notları, 7.6.7, 7.4.9 ve 8.0.2
• Suudi Veri ve Yapay Zekâ Otoritesi (SDAIA): Kişisel Veri İhlali Olayları Usul Rehberi