CVE-2026-104286 : FortiMail Zero-Day CVSS 9.8 exploité avant patch

Les faits

Le 1er octobre 2026, Fortinet a publié en urgence un advisory (Fortinet PSIRT Advisory FG-IR-26-352) révélant l'existence de CVE-2026-104286, une vulnérabilité critique de type path traversal combinée à une neutralisation incorrecte des caractères null byte dans sa passerelle de sécurité email FortiMail. Avec un score CVSS v3.1 de 9.8, ce zero-day permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système hôte via des requêtes HTTP ou HTTPS spécialement forgées. Fortinet a confirmé dès la publication de l'advisory que la vulnérabilité était activement exploitée dans la nature avant même la mise à disposition d'un correctif, ce qui en fait l'une des failles les plus urgentes de l'automne 2026.

Sur le plan technique, CVE-2026-104286 exploite deux faiblesses combinées identifiées sous CWE-22 (Improper Limitation of a Pathname to a Restricted Directory — Path Traversal) et CWE-158 (Improper Neutralization of Null Byte or NUL Character). La première faiblesse réside dans le traitement des chemins de fichiers transmis dans des paramètres HTTP de l'interface d'administration de FortiMail : le composant vulnérable ne valide pas suffisamment les séquences de répertoires parentes, permettant à un attaquant de sortir du répertoire autorisé. La seconde faiblesse amplifie considérablement l'impact : en injectant un caractère null (0x00) dans la chaîne du chemin, l'attaquant contourne les filtres de validation basés sur des comparaisons de suffixes, car certaines routines de parsing interrompent leur lecture à la rencontre d'un null byte, acceptant ainsi un chemin malveillant qui aurait normalement été rejeté.

La combinaison de ces deux vecteurs produit une primitive d'écriture arbitraire de fichiers exécutable par un utilisateur non authentifié sur le réseau. Selon les analyses publiées par eSentire et SOC Prime, la séquence d'exploitation complète — depuis l'accès non authentifié jusqu'à l'exécution de code persistante avec des privilèges root — peut être accomplie en moins de deux minutes sur une configuration FortiMail par défaut. L'attaquant cible généralement le répertoire de scripts d'initialisation du service ou le répertoire cron pour déposer une backdoor qui persiste après redémarrage. Aucun proof-of-concept public n'est disponible à la date de publication, ce qui suggère que les attaquants disposaient d'un accès privé au code d'exploitation, typique d'acteurs de menace avancés.

Le périmètre d'exposition est particulièrement préoccupant : FortiMail est déployé dans des milliers d'organisations à travers le monde, notamment dans des secteurs critiques tels que la finance, la santé, les télécommunications et les administrations publiques. La passerelle étant par définition exposée à Internet pour recevoir les emails entrants, les instances FortiMail non patchées constituent des cibles directement accessibles depuis n'importe quel point du réseau mondial sans nécessiter de pivot préalable. Selon les données de Shodan consultées par plusieurs chercheurs en sécurité, plusieurs milliers d'instances FortiMail sont exposées directement sur Internet, dont une part significative en Europe et en France.

Les versions affectées couvrent un large spectre : FortiMail 7.2.0 jusqu'à 7.2.9, 7.4.0 jusqu'à 7.4.8, 7.6.0 jusqu'à 7.6.6, et 8.0.0 jusqu'à 8.0.1. Ces plages incluent des versions maintenues depuis plusieurs années, ce qui explique la présence de nombreuses instances non mises à jour dans les parcs informatiques d'entreprises ayant des cycles de mise à jour moins fréquents. Les versions 6.x et antérieures ne sont plus supportées et ne bénéficient pas de correctif, bien que Fortinet recommande une migration urgente vers une version maintenue.

La CISA (Cybersecurity and Infrastructure Security Agency) américaine a ajouté CVE-2026-104286 à son catalogue Known Exploited Vulnerabilities (KEV) le jour même de la divulgation publique, soit le 1er octobre 2026, fixant une échéance de remédiation au 22 octobre 2026 pour les agences fédérales américaines soumises à la Binding Operational Directive 22-01. Cette addition immédiate au catalogue KEV est révélatrice de la gravité de la menace et de la confirmation de l'exploitation active par la CISA, qui dispose généralement de sources de renseignement supplémentaires pour corroborer ces observations.

Du côté des attaquants observés, les incidents rapportés début octobre 2026 présentent des caractéristiques associées à des groupes de menace avancés (APT), notamment par l'utilisation de webshells personnalisés, la mise en place de tunnels chiffrés vers des infrastructures de command-and-control, et des techniques de persistance sophistiquées. Bien qu'aucune attribution publique définitive n'ait été réalisée au moment de la rédaction, le profil des cibles — secteurs financiers et gouvernementaux — est cohérent avec les ciblages habituels d'acteurs étatiques à visée d'espionnage ou de prépositionnement stratégique.

Fortinet a mis à disposition les versions corrigées le 1er octobre 2026 pour les branches 7.4 et 7.6, et le 2 octobre 2026 pour les branches 7.2 et 8.0. L'advisory officiel Fortinet PSIRT FG-IR-26-352 détaille les mesures de mitigation temporaires pour les organisations ne pouvant pas appliquer immédiatement le correctif, notamment la désactivation de l'accès HTTP/HTTPS à l'interface d'administration depuis Internet et la restriction par liste blanche d'adresses IP de gestion.

Impact et exposition

CVE-2026-104286 affecte toute organisation exploitant une instance FortiMail dans ses plages de versions concernées et accessible depuis Internet ou depuis un réseau non de confiance. La surface d'attaque est maximale : aucune authentification n'est requise, aucune interaction utilisateur n'est nécessaire, et le vecteur d'attaque est entièrement réseau. Un attaquant distant peut donc cibler n'importe quelle instance FortiMail exposée sans avoir besoin d'un accès préalable.

L'impact potentiel va bien au-delà de la simple compromission de la passerelle email. FortiMail étant positionné en frontal de l'infrastructure de messagerie, un attaquant ayant compromis l'appliance peut intercepter, modifier ou supprimer tous les emails transitant par la passerelle, déployer des mécanismes de phishing interne, exfiltrer des communications confidentielles, ou utiliser la passerelle comme point de pivot vers le réseau interne. Dans les déploiements où FortiMail est intégré à l'annuaire Active Directory ou aux systèmes d'authentification centralisés, la compromission peut s'étendre à l'ensemble du système d'information.

L'exploitation active confirmée avant la publication du patch signifie que toutes les instances FortiMail vulnérables accessibles sur Internet ont pu être ciblées pendant la période précédant la publication du correctif. Les organisations doivent non seulement appliquer le patch mais également procéder à une investigation forensique pour détecter une éventuelle compromission antérieure.

La criticité est aggravée par le fait que FortiMail est souvent déployé dans des zones démilitarisées (DMZ) avec une connectivité étendue vers les serveurs internes de messagerie, ce qui en fait un vecteur de latéralisation particulièrement dangereux une fois compromis.

Recommandations immédiates

• Mettre à jour vers FortiMail 7.2.10+, 7.4.9+, 7.6.7+ ou 8.0.2+ — advisory Fortinet PSIRT FG-IR-26-352
• Si le patch ne peut être appliqué immédiatement : désactiver l'accès HTTPS à l'interface d'administration depuis Internet et restreindre l'accès par liste blanche d'adresses IP de gestion
• Vérifier les logs d'accès de l'interface d'administration FortiMail pour détecter des requêtes HTTP/HTTPS contenant des séquences de path traversal ou des caractères null (%00) depuis début septembre 2026
• Rechercher la présence de fichiers inattendus dans les répertoires /etc/cron.d/, /etc/init.d/ et les répertoires web de FortiMail
• Isoler les instances potentiellement compromises et procéder à une analyse forensique avant de les remettre en production
• Surveiller les connexions sortantes inhabituelles depuis l'appliance FortiMail vers des adresses IP inconnues