Una vulnerabilidad crítica de día cero (zero-day) en Fortinet FortiMail, identificada como CVE-2026-104286, está siendo activamente explotada según alertó la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el 1 de octubre de 2026. Con una puntuación CVSS de 9.8, esta falla permite a atacantes no autenticados escribir archivos arbitrarios en el sistema subyacente de los dispositivos FortiMail, representando un riesgo significativo para la seguridad del correo electrónico y la infraestructura de muchas organizaciones.
La vulnerabilidad se origina en una combinación de limitación inadecuada de la ruta (path traversal, CWE-22) y una neutralización impropia de caracteres NULL (CWE-158). Esto significa que un atacante puede manipular las solicitudes HTTP o HTTPS para escapar de los directorios restringidos y colocar archivos maliciosos en cualquier parte del sistema FortiMail. Fortinet ha confirmado la explotación activa en el mundo real, subrayando la urgencia de la situación.
Las versiones de FortiMail afectadas incluyen la 8.0.0 a 8.0.1, la 7.6.0 a 7.6.6, la 7.4.0 a 7.4.8 y la 7.2.0 a 7.2.9. La presencia de archivos como /data/lib/liblog.so o /data/bin/webconsole en el sistema, o modificaciones en /bin/smit o /data/etc/httpd.conf, son indicadores de compromiso que las organizaciones deben buscar. Fortinet atribuyó el descubrimiento a Gwendal Guégniaud de su equipo de seguridad de productos.
Fortinet ha recomendado dos mitigaciones inmediatas hasta que los parches específicos para todas las versiones estén disponibles. Se aconseja deshabilitar la funcionalidad IBE (Integrated Business Email) mediante el comando CLI config system encryption ibe y set status disable. Adicionalmente, se debe restringir el acceso a la interfaz de administración de FortiMail, limitándolo solo a redes privadas de confianza o deshabilitándolo por completo desde Internet. Las versiones parcheadas serán 8.0.2 o superior, 7.6.7 o superior, 7.4.9 o superior, y para las versiones 7.2.x, se recomienda actualizar a la rama 7.4 o superior. CISA ha establecido el 4 de octubre de 2026 como fecha límite para que las agencias federales apliquen estas medidas ver alerta CISA y aviso de Fortinet.
Qué significa para tu empresa: Una vulnerabilidad de día cero en un componente crítico como el gateway de correo electrónico exige una respuesta inmediata y experta. Este incidente subraya la importancia de contar con una protección del correo robusta que asegure la integridad de tus comunicaciones. Como partner especialista de Fortinet, INGENIERÍA TELEMÁTICA S.A.S. puede asistirte en la evaluación de tu infraestructura, la implementación de las mitigaciones necesarias y la aplicación de parches, garantizando la seguridad de tu entorno.
Fuente original: The Hacker News — ver artículo →