CVE-2026-104286 : FortiMail CVSS 9.8, zero-day actif

Les faits

Fortinet a divulgué début octobre 2026 une vulnérabilité zero-day critique dans FortiMail, sa passerelle de messagerie sécurisée déployée dans des milliers d'entreprises et d'administrations à travers le monde. Référencée CVE-2026-104286 et notée CVSS 9.8, cette faille combine une traversée de répertoire (path traversal) avec un problème de neutralisation d'octet NULL, permettant à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système sous-jacent via l'interface web de la passerelle.

Techniquement, la vulnérabilité réside dans le composant IBE (Identity-Based Encryption) de l'interface graphique de FortiMail. L'IBE est la fonctionnalité qui permet aux destinataires externes de déchiffrer des messages chiffrés par clé publique sans infrastructure PKI dédiée côté réception. Ce composant, exposé sur le port HTTPS de la passerelle, accepte des requêtes non authentifiées dans son fonctionnement nominal — ce qui en fait une surface d'attaque idéale pour des exploits pre-auth sans interaction utilisateur.

La combinaison path traversal + NULL byte injection est une technique classique mais redoutablement efficace : l'attaquant forge un chemin de fichier malveillant qui échappe au contrôle de la sandbox applicative grâce au NULL byte encodé %00, puis écrit un fichier de contenu choisi (webshell PHP, configuration malveillante, remplacement de binaire) à un emplacement arbitraire du système de fichiers de l'appliance. Sur une passerelle de messagerie, cette capacité donne immédiatement accès à l'ensemble des emails en transit, aux credentials LDAP/Active Directory stockés dans la configuration, et offre un pivot vers le réseau interne.

Fortinet a confirmé l'exploitation active dans la nature avant la publication du correctif, qualifiant officiellement la faille de zero-day. La CISA a ajouté CVE-2026-104286 à son catalogue Known Exploited Vulnerabilities (KEV) le 1er octobre 2026 avec une mesure exceptionnelle : un délai de correction de seulement trois jours pour les agences fédérales civiles américaines (deadline au 4 octobre). Ce délai rarissime dans l'histoire du KEV illustre le niveau de menace immédiat — à titre de comparaison, Log4Shell (CVE-2021-44228) avait bénéficié de six jours, et la plupart des CVE critiques obtiennent 15 à 21 jours.

D'après les analyses forensiques publiées par Aviatrix Threat Research et relayées par The Hacker News, les attaquants ont utilisé la faille pour déposer des webshells PHP sur les passerelles compromises, leur conférant un accès persistant et un point de pivot vers les réseaux internes. Les premières organisations touchées dans les campagnes documentées incluent des entreprises de secteurs régulés (finance, santé, énergie) et des administrations publiques. Fortinet a publié les IOC associés dans l'advisory FG-IR-26-104286.

Les versions affectées couvrent un spectre large : FortiMail 7.2.0 à 7.2.9, 7.4.0 à 7.4.8, 7.6.0 à 7.6.6, et 8.0.0 à 8.0.1. Fortinet a publié des correctifs pour chacune de ces branches. Pour les organisations dans l'impossibilité d'appliquer immédiatement les patchs, Fortinet recommande de désactiver la fonctionnalité IBE et de restreindre l'accès HTTPS de gestion aux seules adresses IP d'administration interne via les ACL réseau.

Selon les données Shodan et Censys de début octobre 2026, environ 37 000 instances FortiMail sont exposées directement sur Internet à l'échelle mondiale. En France, l'ANSSI a publié une alerte relayant l'advisory Fortinet, signalant plusieurs centaines d'instances potentiellement accessibles depuis Internet. Cette exposition est structurelle : les passerelles FortiMail sont déployées en position « edge » pour gérer les flux SMTP entrants, donc nécessairement accessibles depuis l'extérieur dans leur configuration par défaut.

Les premières campagnes d'exploitation organisées ont été documentées par Cybersecurity Dive et Help Net Security, avec des indicateurs de compromission publiés permettant aux équipes SOC d'analyser rétrospectivement leurs logs jusqu'à début septembre 2026 — période où l'exploitation dans la nature aurait débuté selon les estimations des chercheurs, soit plusieurs semaines avant la divulgation officielle de Fortinet.

Impact et exposition

Toute organisation déployant une version de FortiMail entre 7.2.0 et 8.0.1 avec le composant IBE activé (par défaut dans la plupart des configurations commerciales) et une interface HTTPS accessible depuis Internet est directement vulnérable à une exploitation sans authentification. La compromission d'une passerelle de messagerie via cette faille donne accès à l'intégralité des emails en transit, aux credentials LDAP/AD potentiellement stockés en configuration, et constitue un point de pivot vers le réseau interne.

Recommandations

• Immédiat : appliquer les correctifs Fortinet pour votre branche — 7.2.10+, 7.4.9+, 7.6.7+, ou 8.0.2+ selon votre déploiement.
• Si le patch ne peut pas être appliqué immédiatement : désactiver le composant IBE via la console d'administration FortiMail et restreindre l'accès HTTPS de gestion aux IP internes autorisées uniquement.
• Effectuer une analyse forensique des logs d'accès FortiMail pour détecter toute requête suspecte vers les chemins URL IBE depuis début septembre 2026 — rechercher les patterns contenant « ../ » ou l'octet NULL encodé %00.
• Vérifier l'intégrité des fichiers système : rechercher tout fichier PHP déposé hors des répertoires légitimes de l'application FortiMail.