Fortinet FortiMail : faille exploitée permettant d'écrire des fichiers sans authentification

En bref

• Le fait. Le 1er octobre 2026, Fortinet a publié le bulletin FG-IR-26-175 sur une faille de FortiMail, sa passerelle de sécurité de la messagerie, signalée comme exploitée. Elle permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système via des requêtes HTTP ou HTTPS. La CISA l'a ajoutée au catalogue KEV le jour même, et le CERT-FR a publié l'avis CERTFR-2026-AVI-1257 le 2 octobre. Source : bulletin Fortinet.
• Êtes-vous concerné ? Si votre entreprise filtre ses e-mails avec un boîtier ou une machine virtuelle FortiMail, en particulier si l'interface webmail est accessible depuis Internet. Selon Fortinet, FortiMail Cloud a été corrigé le 5 octobre et ne demande aucune action.
• Quoi faire :
  1. faites mettre à jour FortiMail vers la version corrective de votre branche (la branche 7.2 doit migrer vers 7.4) ;
  2. en attendant, appliquez le contournement de Fortinet : désactiver le service IBE ou restreindre l'accès au webmail depuis Internet ;
  3. faites rechercher les indicateurs de compromission publiés dans le bulletin.
• Urgence : élevée. Fortinet, la CISA et le CERT-FR signalent une exploitation active.

Détail technique

Identifiants. CVE-2026-104286, bulletin FG-IR-26-175 : traversée de chemin (CWE-22) et neutralisation incorrecte de l'octet nul (CWE-158), sans authentification. Avis CERT-FR : CERTFR-2026-AVI-1257.

Produits et versions.

• FortiMail 8.0 : versions affectées 8.0.0 à 8.0.1 ; version corrigée : 8.0.2 ou ultérieure.
• FortiMail 7.6 : versions affectées 7.6.0 à 7.6.6 ; version corrigée : 7.6.7 ou ultérieure.
• FortiMail 7.4 : versions affectées 7.4.0 à 7.4.8 ; version corrigée : 7.4.9 ou ultérieure.
• FortiMail 7.2 : versions affectées 7.2.0 à 7.2.9 ; version corrigée : migrer vers la branche 7.4 corrigée ou ultérieure.

KEV. Oui : ajoutée au catalogue KEV de la CISA le 1er octobre 2026.

Exploitation active. Oui, selon Fortinet (« Known Exploited : Yes »), la CISA et le CERT-FR.

IOC publics. Fortinet publie des adresses IP et des extraits de journaux caractéristiques dans son bulletin. Nous ne les recopions pas : reportez-vous au bulletin FG-IR-26-175.

Remédiation.

• Mettre à jour en 8.0.2, 7.6.7 ou 7.4.9 (ou ultérieures). Pour la branche 7.2, migrer vers une version corrigée de la branche 7.4 ou supérieure.
• Contournement proposé par Fortinet en attendant : désactiver la fonction IBE (chiffrement des e-mails par identité), ou limiter l'accès au webmail aux réseaux de confiance, ou filtrer les requêtes concernées sur un pare-feu applicatif.
• Rechercher les indicateurs publiés par l'éditeur.