Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

FortiMail z atakowaną luką CVE-2026-104286, poprawek jeszcze nie ma

Fortinet i CISA ostrzegają przed wykorzystywaną w atakach luką CVE-2026-104286 (CVSS 9.8) w FortiMail. Poprawek jeszcze nie ma, producent zaleca wyłączenie IBE i ograniczenie dostępu do panelu.

Karta wpisu: FortiMail z atakowaną luką CVE-2026-104286, poprawek jeszcze nie ma

Fortinet i CISA ostrzegają przed luką CVE-2026-104286 w FortiMail z oceną CVSS 9.8, wykorzystywaną już w atakach. Poprawek jeszcze nie ma. Błąd łączy path traversal z niewłaściwą obsługą bajtu NULL i pozwala zapisać dowolne pliki w systemie przez spreparowane żądania HTTP lub HTTPS, a w efekcie wykonać kod lub polecenia. CISA dodała lukę do katalogu KEV i dała agencjom federalnym trzy dni na reakcję. Szczegółów ataków nie podano.

Kogo dotyczy

Firm korzystających z FortiMail w wersjach od 7.2.0 do 7.2.9, od 7.4.0 do 7.4.8, od 7.6.0 do 7.6.6 oraz od 8.0.0 do 8.0.1. Lukę wykrył sam Fortinet.

Co zrobić

Fortinet zaleca wyłączenie obsługi funkcji IBE albo wyłączenie dostępu do panelu zarządzania FortiMail przez interfejs webowy i ograniczenie go do zaufanych źródeł. Producent opublikował wskaźniki włamania (IoC), które pozwalają sprawdzić, czy doszło do ataku. Poprawki trafią do wersji 7.4.9, 7.6.7 i 8.0.2, ale termin ich wydania nie jest znany.

TAB. 2

Źródła

1
SecurityWeek — Exploited Fortinet FortiMail Zero-Day Calls for Urgent Actionsecurityweek.com
TAB. 3

Powiązane

3
05.11.2026PodatnościSkaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Out
05.11.2026PodatnościOpenSSH łata krytyczne obejście hasła na Linuksie z musl libc bez PAM
05.11.2026PodatnościAplikacja bez kodu i uprawnień wprowadza telefon w pętlę restartów, poprawki nie będzie

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com