FortiMail zero-day CVE-2026-104286: CISA impone 3 giorni con patch non pronte

Il primo ottobre 2026 Fortinet ha pubblicato l'advisory FG-IR-26-175 per una vulnerabilità zero-day nel componente IBE di FortiMail, confermando sfruttamento attivo senza avere ancora pronte le patch per l'intero parco installato. Lo stesso giorno CISA ha inserito CVE-2026-104286 nel catalogo Known Exploited Vulnerabilities con scadenza fissata al 4 ottobre 2026, comprimendo la finestra di remediation a tre giorni. Le organizzazioni con FortiMail sui branch 7.2, 7.4, 7.6 e 8.0 si sono trovate davanti a una scelta incompleta: applicare un workaround che disabilita la funzione Identity-Based Encryption — elemento centrale della sicurezza delle comunicazioni email — oppure restare esposte a un attacco pre-autenticato con impatto massimo su confidenzialità, integrità e disponibilità.

Il meccanismo: path traversal con NULL byte contro i filtri di sanitizzazione

La vulnerabilità risiede nella gestione dei percorsi nel componente IBE GUI di FortiMail. Secondo l'advisory Fortinet, riportato da The Hacker News e Help Net Security, il difetto combina due classi di weakness: CWE-22 (Improper Limitation of a Pathname to a Restricted Directory) e CWE-158 (Improper Neutralization of NULL Byte or NULL Character). Un attaccante non autenticato può inviare richieste HTTP o HTTPS craftate che sfruttano la NULL byte injection per bypassare i controlli di sanitizzazione dei path, ottenendo la scrittura di file arbitrari sul sistema sottostante.

Il file write funge da primitive per escalation. L'analisi tecnica di Tech Insider e le osservazioni citate da shattered.io indicano che una volta ottenuto il foothold tramite scrittura file, l'esecuzione di comandi sull'appliance è tecnicamente conseguenziale. Il vettore è completamente remoto, non richiede autenticazione né interazione utente: la stringa CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H traduce questa configurazione in un punteggio base di 9.8, al di sopra della soglia di criticità secondo NVD.

"An improper limitation of a pathname to a restricted directory ('path traversal') [CWE-22] and improper neutralization of NULL byte or NULL character [CWE-158] vulnerability may allow an unauthenticated attacker to write arbitrary files on the underlying system via crafted HTTP or HTTPS requests" — Fortinet advisory FG-IR-26-175

La corsa contro il tempo: patch parziali e workaround che disabilitano la crittografia

La disclosure di Fortinet ha creato una situazione asimmetrica. Il vendor ha confermato lo sfruttamento attivo, CISA ha attivato la procedura KEV con BOD 26-04, ma lo stato delle patch al momento della pubblicazione dell'advisory era frammentato. Secondo Tech Insider, al 2-3 ottobre 2026 le patch erano marcate come "not yet released". La situazione si è parzialmente risolta il 13 ottobre: Fortinet ha rilasciato le versioni corrette 8.0.2, 7.6.7 e 7.4.9. Il branch 7.2 — che arriva fino alla 7.2.9 nelle versioni affette — non riceve invece alcuna patch: l'unica via è l'upgrade a 7.4 o superiore.

Per le organizzazioni senza possibilità di aggiornamento immediato, Fortinet ha indicato un workaround che consiste nella disabilitazione della funzione IBE. La scelta esemplifica il dilemma operativo: IBE è un sistema di crittografia basata sull'identità integrata nell'architettura di sicurezza email di FortiMail, non un componente marginale. Disabilitarla significa rimuovere uno strato di protezione delle comunicazioni per mitigare un rischio più grave, con impatto sulla conformità e sulla postura crittografica dell'organizzazione. La fonte non specifica se esistano alternative di contenimento meno invasive.

Il pattern Fortinet: appliance edge sotto tiro ricorrente

Cybersecurity Dive, citato da Tech Insider, ha sottolineato un dato contestuale: la vulnerabilità è stata scoperta internamente da Gwendal Guégniaud del Fortinet Product Security team, non da ricercatori esterni o programmi bug bounty. Questo elemento, apparentemente secondario, indica che il vendor ha identificato il difetto in fase di analisi interna o incident response, piuttosto che tramite segnalazione preventiva. La scoperta interna non ha comunque compresso i tempi di rilascio delle patch sufficientemente per coprire l'intero spettro delle versioni supportate.

Il caso si inserisce in un pattern più ampio. Le appliance di sicurezza di perimetro — firewall, gateway email, VPN concentrator — sono diventate target privilegiati per l'accesso pre-autenticato alle reti aziendali. Fortinet in particolare ha affrontato nel 2024-2026 una serie di zero-day su prodotti edge (FortiOS, FortiGate, FortiClient) che hanno mostrato caratteristiche ricorrenti: sfruttamento attivo confermato, patch successive alla disclosure o frammentate tra branch, workaround con impatto funzionale significativo. La concentrazione di funzionalità di sicurezza in appliance monolitiche espone a surface di attacco concentrate: quando il perimetro di difenza diventa il vettore di ingresso, la compensazione diventa strutturalmente difficile.

Indagini e IOC: cosa cercare nei sistemi già compromessi

Fortinet ha pubblicato indicatori di compromissione che permettono verifiche forensi sugli asset esposti. I file anomali da controllare sono: /data/lib/liblog.so, /data/bin/webconsole e /bin/smit con timestamp o checksum alterati. Due indirizzi IP sono stati osservati nei log di exploitation: 79.141.169.187 e 45.129.0.192. Tech Insider riporta che l'analisi di Truesec ha contribuito alla mappatura degli indicatori, sebbene la fonte non specifichi se questi IP rappresentino infrastruttura di comando e controllo o solamente nodi di scansione/reconnaissance.

Non emerge alcuna attribuzione a gruppi threat actor specifici. Il dossier non documenta deployment di ransomware, exfiltrazione di dati o altri impatti post-exploitation, limitando la comprensione del movente e della scala dell'operazione. L'assenza di attribuzione non riduce il rischio: la conferma dello sfruttamento attivo da parte del vendor e l'inserimento KEV indicano che la vulnerabilità è stata sfruttata in modo sufficientemente rilevante per attivare la risposta governativa accelerata.

Cosa fare adesso

Le azioni prioritarie derivano direttamente dalle indicazioni del vendor e dal contesto CISA:

1. Verificare la versione di FortiMail in produzione: i branch affetti sono 8.0.0-8.0.1, 7.6.0-7.6.6, 7.4.0-7.4.8, 7.2.0-7.2.9. Chi è su 7.2 deve pianificare upgrade a 7.4.9 o superiore senza attesa di patch dedicata.
2. Applicare le patch 8.0.2, 7.6.7 e 7.4.9 dove disponibili, con priorità per i sistemi con interfaccia IBE esposta a Internet.
3. Controllare gli IOC nei log e nel filesystem: ricerca dei file /data/lib/liblog.so, /data/bin/webconsole, /bin/smit anomali, e analisi del traffico verso gli IP 79.141.169.187 e 45.129.0.192.
4. Valutare il workaround di disabilitazione IBE solo se l'aggiornamento non è immediatamente applicabile, consapevoli che la mitigazione rimuove funzionalità crittografiche dalla posta elettronica.

La compressione della deadline CISA: un nuovo standard per il 2026

CISA ha impiegato tre giorni dal disclosure alla deadline operativa per le agenzie federali FCEB. Questa finestra, segnalata da shattered.io come parte di un trend 2026 di accelerazione delle timeline KEV, riduce drasticamente il margine per test, rollout e rollback delle patch. Il pattern si è già ripetuto per altre vulnerabilità critiche con CVSS prossimi al massimo, sebbene il dossier non permetta di stabilire se CISA abbia formalizzato una soglia numerica per la compressione automatica delle deadline.

La lezione per il settore enterprise è duplice. Da un lato, la disponibilità di patch incomplete al momento della disclosure costringe a una gestione del rischio basata su compromessi funzionali, non su remediation tecnica. Dall'altro, la convergenza di vendor confirmation e KEV accelerato sta restringendo la differenza tra vulnerabilità teorica e incidente operativo: la classificazione "zero-day attivamente sfruttato" diventa trigger di risposta indipendentemente dalla disponibilità degli aggiornamenti.

Fonti

• https://tech-insider.org/fortimail-zero-day-cve-2026-104286-cisa-kev-2026/
• https://shattered.io/fortimail-zero-day-cvss-9-8-cisa-deadline-2026/
• https://tech-insider.org/fortimail-zero-day-cve-2026-104286-cisa-deadline-2026/
• https://thehackernews.com/2026/10/critical-fortimail-zero-day-flaw.html
• https://shattered.io/cisco-sd-wan-manager-cve-2026-76504-cvss-9-8-2026/
• https://shattered.io/wso2-api-manager-cvss-10-exploit-gap-2026/
• https://nvd.nist.gov/vuln/detail/CVE-2026-104286
• https://www.cve.org/CVERecord?id=CVE-2026-76504
• https://www.cve.org/CVERecord?id=CVE-2026-5430
• https://www.helpnetsecurity.com/2026/10/02/fortinet-fortimail-vulnerability-cve-2026-104286/
• https://www.cisa.gov/news-events/alerts/2026/10/01/cisa-adds-one-known-exploited-vulnerability-catalog