FortiMail : une faille critique exploitée, que faire

Une faille critique dans FortiMail, la passerelle de sécurité de messagerie de Fortinet, est activement exploitée. Référencée CVE-2026-104286 et notée 9,8 sur 10 (CVSS v3), elle permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système à l'aide de requêtes HTTP ou HTTPS spécialement conçues. Fortinet a publié son bulletin FG-IR-26-175 le 1er octobre 2026, et le CERT-FR a relayé l'alerte dans son avis CERTFR-2026-AVI-1257 le lendemain. Les administrateurs qui exposent l'interface web de leurs appliances doivent agir rapidement.

Ce que permet la vulnérabilité

Selon Fortinet, il s'agit d'une faille de type traversée de répertoire (CWE-22), combinée à une mauvaise neutralisation du caractère nul (CWE-158). Elle touche l'interface graphique du produit et ne demande aucune authentification. L'éditeur classe son impact dans la catégorie « exécution de code ou de commandes non autorisés », et le CERT-FR retient le risque d'exécution de code arbitraire à distance.

Fortinet indique que la vulnérabilité est exploitée « dans la nature ». Elle a été découverte en interne par l'équipe de sécurité produit de l'éditeur. Aucun correctif virtuel n'est disponible côté FortiGuard.

Versions concernées et correctifs

Le bulletin de Fortinet liste quatre branches affectées :

• FortiMail 8.0 : versions 8.0.0 à 8.0.1, corrigé en 8.0.2 ;
• FortiMail 7.6 : versions 7.6.0 à 7.6.6, corrigé en 7.6.7 ;
• FortiMail 7.4 : versions 7.4.0 à 7.4.8, corrigé en 7.4.9 ;
• FortiMail 7.2 : versions 7.2.0 à 7.2.9, sans correctif dédié, il faut migrer vers la branche 7.4 ou une branche plus récente.

Pour FortiMail Cloud, Fortinet précise avoir corrigé le service le 5 octobre 2026 en déployant les versions 7.6.7 et 8.0.2. Les clients du service cloud n'ont rien à faire.

Les contournements en attendant la mise à jour

Si la mise à jour ne peut pas être appliquée immédiatement, Fortinet recommande trois mesures :

1. désactiver le service IBE (chiffrement basé sur l'identité), dans l'interface (Encryption > IBE) ou en ligne de commande ;
2. restreindre l'accès à l'interface webmail, en la retirant d'Internet ou en la limitant à des réseaux privés de confiance ;
3. si un pare-feu applicatif (WAF) protège l'appliance, bloquer les requêtes POST vers /ibe qui contiennent la séquence ../.

Ces mesures réduisent la surface d'attaque, mais ne remplacent pas le correctif.

Rechercher des traces de compromission

La faille étant déjà exploitée, corriger ne suffit pas : il faut vérifier que l'appliance n'a pas été compromise avant la mise à jour. Le bulletin publie des indicateurs, parmi lesquels deux adresses IP, des tâches planifiées exécutant /bin/sh -c sous /migadmin, ou la création par la ligne de commande d'un compte d'archivage nommé « archive234 » pointant vers une destination distante. Les journaux de chiffrement peuvent aussi contenir des erreurs BufferException liées à un encodage Base64 invalide dans le module IBE, accompagnées d'échecs de connexion d'utilisateurs internes.

En cas de doute, l'appliance doit être considérée comme compromise : isolement, analyse et renouvellement des secrets qu'elle détient.

Une priorité dans la file des correctifs

Les équipements de bordure, passerelles de messagerie, VPN et contrôleurs d'accès, restent des cibles privilégiées, comme l'a montré récemment l'exploitation de deux failles critiques dans Citrix NetScaler. Une faille exploitée, sans authentification, sur un équipement exposé à Internet coche toutes les cases d'un traitement en urgence. Pour arbitrer entre les correctifs du mois, notre méthode pour prioriser les mises à jour de sécurité s'applique ici pleinement.