FortiMail کی استحصال شدہ خامی: سب سے واضح نشان حملہ آور کے سرور کی طرف اشارہ کرتا ایک میل آرکائیو اکاؤنٹ ہے

1 اکتوبر 2026 کو Fortinet نے FortiMail کی ایک خامی کے بارے میں ایڈوائزری شائع کی۔ FortiMail وہ ای میل سیکیورٹی گیٹ وے ہے جسے بہت سی کمپنیاں آنے اور جانے والی میل کی جانچ کے لیے اپنے میل باکسز کے آگے لگاتی ہیں۔ یہ خامی، CVE-2026-104286، 10 میں سے 9.8 درجے کی ہے، اس کا استحصال بغیر اکاؤنٹ اور بغیر پاس ورڈ والا حملہ آور کر سکتا ہے، اور Fortinet کا کہنا ہے کہ عملی طور پر اس کا استحصال ہو رہا ہے۔ اسی دن سعودی عرب کی نیشنل سائبر سیکیورٹی اتھارٹی (NCA) نے انتہائی سنگین درجے کا انتباہ 2026-7895 جاری کیا، اور امریکہ کی سائبر سیکیورٹی اینڈ انفراسٹرکچر سیکیورٹی ایجنسی (CISA) نے اسے معلوم استحصال شدہ کمزوریوں کی اپنی فہرست میں شامل کر دیا۔

یہ خامی IT سے پہلے انتظامیہ کے لیے کیوں اہم ہے

پچھلے ہفتے ہم نے Cisco کے برانچ نیٹ ورک مینیجر میں ایک استحصال شدہ خامی کے بارے میں لکھا تھا، اور اس سوال کے بارے میں کہ آپ کی کمپنی میں منظم سسٹمز کو پیچ کون کرتا ہے۔ یہ خامی ایک ایسے پہلو سے مختلف ہے جو IT سے پہلے انتظامیہ کے لیے اہم ہے: Fortinet کے شائع کردہ سمجھوتے کے اشاریوں میں ایک لاگ لائن ہے جو دکھاتی ہے کہ حملہ آور نے ایک میل آرکائیو اکاؤنٹ شامل کیا جس کی منزل ایک بیرونی سرور ہے۔ یہاں خطرہ آلے پر نہیں رکتا۔ یہ خود کمپنی کی میل تک پہنچتا ہے۔

Fortinet نے کیا شائع کیا

• پروڈکٹ: FortiMail، Fortinet کا ای میل سیکیورٹی گیٹ وے۔
• خامی: پاتھ ٹریورسل (path traversal) کی ایک کمزوری جو درخواستوں میں NULL بائٹس کی غلط ہینڈلنگ کے ساتھ مل کر ایک خاص طور پر تیار کی گئی HTTP یا HTTPS درخواست کو آلے کے اپنے سسٹم پر فائلیں لکھنے دیتی ہے۔ Fortinet اس کے اثر کو غیر مجاز کوڈ یا کمانڈز کے نفاذ کے طور پر درجہ دیتا ہے۔
• پیشگی شرط: کوئی نہیں۔ ایک غیر تصدیق شدہ دور دراز حملہ آور، 10 میں سے 9.8 کے CVSS اسکور کے ساتھ۔
• حیثیت: Fortinet کے مطابق عملی طور پر استحصال ہو رہا ہے، اور اس کی اپنی سیکیورٹی ٹیم نے اندرونی طور پر دریافت کی۔
• درستی: جب ایڈوائزری جاری ہوئی تو ابھی کوئی اپڈیٹ دستیاب نہیں تھی، اور SecurityWeek نے 2 اکتوبر کو رپورٹ کیا کہ درستیاں آنے والے ورژنوں میں آئیں گی، جن کی ریلیز کی تاریخ نہیں دی گئی۔ اس کے بعد Fortinet کے ریلیز نوٹس ورژن 7.6.7 کی تاریخ 2 اکتوبر اور ورژن 7.4.9 اور 8.0.2 کی تاریخ 3 اکتوبر بتاتے ہیں، اور 5 اکتوبر کو Fortinet نے ایڈوائزری کا حل والا حصہ اپڈیٹ کیا۔ درست شدہ ورژن نیچے دی گئی جدول میں ہیں۔
• مقامی انتباہ: نیشنل سائبر سیکیورٹی اتھارٹی کا انتباہ 2026-7895، بتاریخ 1 اکتوبر 2026، انتہائی سنگین درجہ، جس میں متاثرہ پروڈکٹس کو اپڈیٹ کرنے کی سفارش کی گئی ہے۔
• امریکی ڈیڈ لائن: CISA نے امریکی وفاقی اداروں کو 4 اکتوبر تک، یعنی تین دن، کی مہلت دی اور اس خامی کو اپنی فارنزک ٹرائیج کی ضروریات کے تحت رکھا۔ یہ 2026 کے آغاز سے اب تک ایجنسی کی فہرست میں شامل کی گئی آٹھویں Fortinet کمزوری ہے۔

ایڈوائزری کے مطابق متاثرہ اور درست شدہ ورژن:

آخری قطار پر توجہ دیں: برانچ 7.2 کو اسی برانچ کے اندر کوئی درستی نہیں ملتی۔ اسے کسی دوسری برانچ پر منتقل ہونا ہوگا، جس کے لیے منصوبہ بندی درکار ہے، لیکن اس میں تاخیر نہیں کی جا سکتی۔

ای میل گیٹ وے اتنا اہم کیوں ہے

ای میل گیٹ وے انٹرنیٹ اور آپ کے عملے کے میل باکسز کے درمیان ہوتا ہے، اس لیے ہر آنے اور جانے والا پیغام اس سے گزرتا ہے: کوٹیشنز، سپلائر انوائسز، معاہدے، بینک خط و کتابت، اور بینک تفصیلات تبدیل کرنے کی درخواستیں۔ یہی وجہ ہے کہ میل پر اس کے وسیع اختیارات ہوتے ہیں۔ یہی وہ سسٹم ہے جو پیغامات کی جانچ کرتا ہے، انہیں قرنطینہ میں رکھتا ہے، انکرپٹ کرتا ہے اور آرکائیو کرتا ہے۔

خامی جس راستے کا استحصال کرتی ہے وہ IBE فیچر، یعنی شناخت پر مبنی انکرپشن، سے تعلق رکھتا ہے، جسے FortiMail ایسے انکرپٹڈ پیغامات بھیجنے کے لیے استعمال کرتا ہے جنہیں وصول کنندگان ایک ویب پورٹل کے ذریعے کھولتے ہیں۔ بہت سی ترتیبات میں یہ پورٹل انٹرنیٹ سے قابلِ رسائی ہوتا ہے تاکہ کمپنی سے باہر کے وصول کنندگان اسے استعمال کر سکیں۔

وہ نشان جو آپ کی ٹیم کو تلاش کرنا چاہیے: ایک آرکائیو اکاؤنٹ جو کسی نے نہیں بنایا

ایڈوائزری کے ساتھ Fortinet نے سمجھوتے کے اشاریے بھی شائع کیے۔ ان میں دو IP پتے، 79.141.169.187 اور 45.129.0.192، اور سسٹم ایونٹ لاگ کی ایک لائن شامل ہے جو archive234 نامی ایک آرکائیو اکاؤنٹ کے شامل کیے جانے کو دکھاتی ہے، جس کی منزل ایک دور دراز سرور ہے: وہی پتہ، 79.141.169.187، /uploads نامی ڈائریکٹری میں۔ وہی لائن دکھاتی ہے کہ یہ تبدیلی یوزر نیم admin کے تحت، کمانڈ لائن سے کی گئی۔

اس لائن کا مطلب سمجھنے کے لیے: FortiMail کا آرکائیونگ فیچر آرکائیو کیے گئے پیغامات کو آرکائیو اکاؤنٹس میں محفوظ کرتا ہے، اور ہر اکاؤنٹ کی ایک منزل ہوتی ہے۔ یہ مقامی ہو سکتی ہے، آلے کی ڈسک یا کسی نیٹ ورک اسٹوریج سرور پر، یا دور دراز، کسی ایسے سرور پر جس سے آلہ FTP یا SFTP کے ذریعے جڑتا ہے۔ کون سے پیغامات آرکائیو ہوں گے، یہ الگ آرکائیونگ پالیسیاں طے کرتی ہیں۔ چنانچہ حملہ آور کے سرور کی طرف اشارہ کرتا آرکائیو اکاؤنٹ، جیسے ہی اس کے ساتھ کوئی آرکائیونگ پالیسی منسلک کی جاتی ہے، کمپنی سے باہر پیغامات کی نقل بھیجنے کا راستہ بن جاتا ہے۔ ایڈوائزری یہ نہیں بتاتی کہ پائے گئے کیسز میں واقعی کوئی میل نقل ہوئی یا نہیں۔

اپنی IT ٹیم یا سروس فراہم کنندہ سے کیا مانگیں:

• آلے پر ہر آرکائیو اکاؤنٹ اور آرکائیونگ پالیسی کا جائزہ لیں، اور کسی بھی ایسی دور دراز منزل کے بارے میں پوچھیں جسے کمپنی میں کوئی نہیں پہچانتا۔
• لاگز میں دونوں شائع شدہ پتے تلاش کریں، اور archive234 نامی اکاؤنٹ یا کوئی بھی حالیہ آرکائیو اکاؤنٹ جس کا بنانے والا نامعلوم ہو۔
• آلے پر ایڈمنسٹریٹر اکاؤنٹس اور کسی بھی ایسی کنفیگریشن تبدیلی کا جائزہ لیں جس کی کوئی وضاحت نہ کر سکے۔
• پیچ سے پہلے لاگز اور کنفیگریشن کی ایک نقل محفوظ کریں۔ سیٹنگز عام طور پر اپگریڈ کے بعد بھی باقی رہتی ہیں، اس لیے پہلے شامل کیا گیا اکاؤنٹ تب تک رہتا ہے جب تک کوئی اسے حذف نہ کرے۔ پیچ دروازہ بند کرتا ہے۔ یہ آپ کو یہ نہیں بتاتا کہ اس سے کون گزرا۔

اگر آپ آج رات پیچ نہیں کر سکتے

Fortinet تین آپشنز پر مشتمل ایک عارضی حل بتاتا ہے:

• GUI میں IBE فیچر بند کریں (Encryption، پھر IBE، پھر IBE Service بند کریں) یا کمانڈ لائن سے۔
• یا FortiMail ویب میل انٹرفیس تک انٹرنیٹ رسائی بلاک کریں، یا اسے کسی قابلِ اعتماد نجی نیٹ ورک تک محدود کریں۔
• یا، اگر آلے کے آگے ویب ایپلیکیشن فائر وال ہے، تو /ibe کو جانے والی ان POST درخواستوں کو بلاک کریں جن میں ../ موجود ہو۔

IBE بند کرنے سے اس فیچر کے ذریعے انکرپٹڈ ترسیل رک جاتی ہے، اس لیے اگر کوئی شعبہ اس پر انحصار کرتا ہے تو اس کے ساتھ ایک عارضی متبادل طے کریں۔ عارضی حل یہ محدود کرتا ہے کہ خامی تک کون پہنچ سکتا ہے۔ یہ اپگریڈ کا متبادل نہیں ہے، اور نہ ہی اس سے پہلے جو ہوا اس کی جانچ کی ضرورت ختم کرتا ہے۔

اصل نقصان ہفتوں بعد فنانس تک پہنچتا ہے

میل کی نقل بنانا بذاتِ خود مقصد نہیں ہے۔ جو کوئی سپلائرز کے ساتھ آپ کی خط و کتابت پڑھتا ہے وہ جان لیتا ہے کہ انوائس کون بھیجتا ہے، کب، کس فارمیٹ میں، اور کون سے پرچیز آرڈرز ادائیگی کے منتظر ہیں۔ انوائس کا رخ موڑنے والے فراڈ کو بالکل یہی مواد چاہیے: ایک پیغام جو سپلائر کی طرف سے آیا ہوا لگتا ہے، ایک حقیقی گفتگو کے اندر، جس میں کہا جاتا ہے کہ اگلی ادائیگی ایک نئے بینک اکاؤنٹ میں بھیجی جائے۔

اس قسم کے فراڈ کو روکنے کے لیے ٹیکنالوجی کی ضرورت نہیں۔ اس کے لیے ایک اصول چاہیے جس پر آپ کی فنانس ٹیم آج سے عمل کرے:

• کسی سپلائر کا بینک اکاؤنٹ صرف ایک ای میل کی بنیاد پر کبھی تبدیل نہیں کیا جاتا، چاہے وہ کتنی ہی اصلی لگے۔
• تصدیق اس نمبر پر فون کر کے کریں جو پہلے سے سپلائر کی فائل میں درج ہے، کبھی بھی پیغام میں دیے گئے نمبر پر نہیں۔
• سپلائر کی بینک تفصیلات میں تبدیلی کے لیے اسے درج کرنے والے کے علاوہ کسی دوسرے شخص کی منظوری ضروری ہے، اور سسٹم ریکارڈ کرتا ہے کہ اسے کس نے اور کب تبدیل کیا۔
• نئے بینک اکاؤنٹ میں پہلی ادائیگی کا باقی ادائیگیوں سے زیادہ باریکی سے جائزہ لیا جاتا ہے۔

ہم نے بینک تفصیلات کی تبدیلی کے عمل کو سسٹم میں شامل کرنے کا طریقہ طے شدہ سپلائر ادائیگی رنز اور اسٹیٹمنٹ مفاہمت پر ہمارے مضمون میں بیان کیا ہے۔

اگر پتا چلے کہ پیغامات نقل کیے گئے تھے

اگر آپ کی ٹیم کو کوئی نامعلوم آرکائیو اکاؤنٹ یا پیغامات کی نقل کیے جانے کا ثبوت ملے تو اسے کنفیگریشن کی غلطی نہیں بلکہ ڈیٹا کی خلاف ورزی سمجھیں، کیونکہ ای میل میں عام طور پر ذاتی ڈیٹا ہوتا ہے: صارفین کے نام، موبائل نمبر اور پتے۔ ذاتی ڈیٹا کی خلاف ورزی کے واقعات پر سعودی ڈیٹا اینڈ آرٹیفیشل انٹیلیجنس اتھارٹی (SDAIA) کی طریقۂ کار گائیڈ کنٹرولر سے تقاضا کرتی ہے کہ وہ کسی ایسے واقعے سے آگاہ ہونے کے 72 گھنٹوں کے اندر مجاز اتھارٹی کو مطلع کرے جو ڈیٹا یا اس سے متعلق لوگوں کو نقصان پہنچا سکتا ہو، یا ان کے حقوق یا مفادات سے متصادم ہو سکتا ہو، اور اگر واقعہ متاثرہ ڈیٹا سبجیکٹس کے ڈیٹا کو نقصان پہنچاتا ہو یا ان کے حقوق یا مفادات سے متصادم ہو تو انہیں بلا جواز تاخیر کے بغیر مطلع کرے۔ ان سپلائرز اور صارفین کو بھی بتائیں جن کی خط و کتابت بے نقاب ہوئی، کیونکہ آپ کی کمپنی کے نام سے فراڈ پیغامات ان تک پہنچ سکتے ہیں۔

Origami کا نقطۂ نظر

ہم بزنس سسٹمز بناتے ہیں۔ ہم ای میل آلات نہ بیچتے ہیں نہ چلاتے ہیں۔ لیکن ہمارا بنایا ہوا ہر سسٹم ای میل بھیجتا ہے: انوائسز، آرڈر کی تصدیقات، اکاؤنٹ اسٹیٹمنٹس۔ ہماری رائے میں، کمپنی کی میل کی نقل بنانے کی صلاحیت پر اتنی ہی کڑی نظر ہونی چاہیے جتنی اکاؤنٹنگ سسٹم تک رسائی پر، کیونکہ انوائس اور بینک تفصیلات کی تبدیلی کی درخواست دونوں سسٹم تک پہنچنے سے پہلے ای میل سے گزرتی ہیں۔

سعودی کاروباری مالکان کے لیے ہم اس خامی کو دو طرح سے دیکھتے ہیں۔ پہلا، سیکیورٹی آلات خود بار بار نشانہ بن رہے ہیں، اس لیے جو آلہ آپ نے اپنی میل کی حفاظت کے لیے خریدا ہے اسے کسی ایسے شخص کی ضرورت ہے جو اس کے انتباہات پر نظر رکھے اور اسے کسی بھی دوسرے سسٹم کی طرح اپڈیٹ کرے۔ دوسرا، چوری شدہ خط و کتابت کا بہترین جواب صرف تکنیکی نہیں ہے: فنانس میں فون کے ذریعے تصدیق کا اصول چوری شدہ میل پر مبنی فراڈ کو ناکام بنا دیتا ہے، چاہے سیندھ کبھی دریافت نہ ہو۔

اہم نکات

• اگر آپ کی کمپنی FortiMail استعمال کرتی ہے تو آج ہی اس کا ورژن معلوم کریں اور 8.0.2، 7.6.7، 7.4.9 یا اس کے بعد کے ورژن پر اپگریڈ کریں، اور برانچ 7.2 کو 7.4 یا اس کے بعد کی برانچ پر منتقل کریں۔
• اپگریڈ تک: IBE بند کریں، یا ویب میل انٹرفیس تک انٹرنیٹ رسائی بلاک کریں۔
• آرکائیو اکاؤنٹس اور پالیسیوں کا جائزہ لیں، دونوں شائع شدہ پتے تلاش کریں، اور پیچ سے پہلے لاگز محفوظ کریں۔
• آج ہی فنانس کو بتائیں: کسی معلوم نمبر پر فون سے تصدیق اور ایک دوسرے منظور کنندہ کے بغیر کسی سپلائر کے بینک اکاؤنٹ میں کوئی تبدیلی نہیں۔
• اگر نقل کیے گئے پیغامات میں ذاتی ڈیٹا تھا اور خلاف ورزی متعلقہ لوگوں کو نقصان پہنچا سکتی ہے یا ان کے حقوق یا مفادات سے متصادم ہو سکتی ہے، تو مجاز اتھارٹی کو مطلع کرنے کی مہلت واقعے سے آگاہ ہونے کے وقت سے 72 گھنٹے ہے۔

ذرائع

• Fortinet: CVE-2026-104286 کے لیے ایڈوائزری FG-IR-26-175 (1 اکتوبر 2026 کو شائع، 5 اکتوبر کو اپڈیٹ)، ورژنوں، عارضی حل اور سمجھوتے کے اشاریوں کا ماخذ
• نیشنل سائبر سیکیورٹی اتھارٹی (NCA): Fortinet انتباہ 2026-7895 (1 اکتوبر 2026)
• CISA: فہرست میں ایک معلوم استحصال شدہ کمزوری شامل (1 اکتوبر 2026)، اور خود فہرست
• SecurityWeek: Exploited Fortinet FortiMail Zero-Day Calls for Urgent Action (2 اکتوبر 2026)
• Fortinet: FortiMail ایڈمنسٹریشن گائیڈ، ای میل آرکائیونگ اکاؤنٹس کی کنفیگریشن
• Fortinet: FortiMail ریلیز نوٹس برائے 7.6.7، 7.4.9 اور 8.0.2
• سعودی ڈیٹا اینڈ آرٹیفیشل انٹیلیجنس اتھارٹی (SDAIA): ذاتی ڈیٹا کی خلاف ورزی کے واقعات کی طریقۂ کار گائیڈ