## En bref

- CVE-2026-104286 (CVSS 9.8) : zero-day FortiMail permet l'écriture de fichiers arbitraires sans aucune authentification

- Versions affectées : FortiMail 7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6, 8.0.0–8.0.1

- Patcher immédiatement vers 7.4.9+, 7.6.7+ ou 8.0.2+ — exploité activement, KEV CISA confirmé

## Les faits

Le 1er octobre 2026, Fortinet a divulgué une vulnérabilité critique affectant FortiMail, sa solution de [passerelle de messagerie sécurisée](/glossaire/passerelle-de-messagerie-securisee). Référencée CVE-2026-104286 et scorée CVSS 9.8, cette faille permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système sous-jacent en envoyant des requêtes HTTP ou HTTPS spécialement forgées. La CISA a immédiatement ajouté CVE-2026-104286 à son catalogue des vulnérabilités connues et exploitées (KEV), confirmant ainsi que l'exploitation était active avant même la publication du correctif par le vendor.

Techniquement, CVE-2026-104286 résulte de la combinaison de deux faiblesses distinctes : une traversée de chemin ([path traversal](/glossaire/path-traversal)) et une neutralisation incorrecte des octets NULL dans les requêtes HTTP. Cette combinaison permet à l'attaquant de contourner les contrôles d'accès aux fichiers et d'écrire du contenu à des emplacements arbitraires du système de fichiers. Dans les scénarios documentés par esentire et WatchTowr, l'exploitation aboutit à l'exécution de code à distance avec les privilèges du processus FortiMail — typiquement root sur les appliances Fortinet déployées en entreprise.

Les versions touchées couvrent un spectre large des déploiements en production : FortiMail 7.2.0 à 7.2.9, 7.4.0 à 7.4.8, 7.6.0 à 7.6.6, et 8.0.0 à 8.0.1. Fortinet a corrigé la faille dans les versions 8.0.2, 7.6.7 et 7.4.9. Les administrateurs encore sur la branche 7.2.x doivent migrer obligatoirement vers la branche 7.4 ou ultérieure, aucun patch n'étant prévu pour cette version arrivée en fin de maintenance active.

La firme de recherche esentire a confirmé que l'exploitation était réalisable sans aucun identifiant préalable. WatchTowr a publié une analyse technique complète, confirmant que la surface d'attaque est accessible depuis l'interface de gestion web exposée sur le port 443 par défaut. Dans de nombreuses configurations d'entreprise, cette interface reste accessible depuis l'internet public ou depuis des zones réseau insuffisamment segmentées, facilitant considérablement l'exploitation à distance.

Selon les données publiées par les équipes de recherche en [threat intelligence](/glossaire/threat-intelligence-renseignement-menaces), les premières traces d'exploitation remontent à la mi-septembre 2026, soit environ deux semaines avant la divulgation officielle par Fortinet. L'exploitation pre-disclosure confirme qu'un acteur avait découvert la vulnérabilité de manière indépendante et l'utilisait activement avant que Fortinet n'en ait connaissance. Les IoC publiés incluent des requêtes HTTP POST anormales vers des chemins contenant des séquences ../, la présence de fichiers à noms aléatoires dans les répertoires web accessibles, et des connexions sortantes inhabituelles depuis l'appliance FortiMail vers des adresses IP externes.

L'exploitation de CVE-2026-104286 ouvre aux attaquants des vecteurs post-compromission particulièrement dangereux dans le contexte d'une gateway de messagerie. Un webshell planté dans un répertoire accessible en HTTP permet la persistance et l'exécution de commandes arbitraires. La modification silencieuse des règles de filtrage anti-spam peut laisser passer des campagnes de [phishing](/glossaire/phishing) ciblées sans déclencher aucune alerte. L'accès aux archives de messagerie stockées sur l'appliance expose potentiellement des mois ou des années de communications sensibles. Et la position de l'appliance dans l'architecture réseau — connectée aux serveurs SMTP internes — facilite le pivotement latéral vers le système d'information.

Fortinet a précisé dans son advisory que la majorité des attaques observées à ce stade ciblent des organisations des secteurs financier, gouvernemental et de l'énergie. Le profil ciblé des victimes indique que l'exploitation n'est pas opportuniste mais délibérée : les attaquants identifient préalablement les instances FortiMail exposées via des moteurs de recherche spécialisés avant de lancer leurs requêtes malveillantes. Le nombre d'instances FortiMail potentiellement vulnérables et accessibles sur internet est estimé entre 12 000 et 15 000 selon les scans publiés par la communauté de recherche au 16 octobre 2026.

Le [CERT-FR](/glossaire/cert-fr) a fait référence aux produits Fortinet dans son bulletin d'actualité CERTFR-2026-ACT-043 publié le 14 octobre 2026 dans le contexte des avis de sécurité récents. Les organisations françaises utilisant FortiMail sont fortement encouragées à traiter cette vulnérabilité avec une priorité maximale compte tenu de la criticité du service e-mail dans les opérations quotidiennes et du niveau d'exploitation observé.

## Impact et exposition

FortiMail est déployé dans des milliers d'organisations en France et en Europe, principalement comme gateway SMTP de filtrage anti-spam et anti-phishing devant les serveurs de messagerie internes. Sa position dans l'architecture réseau — exposée sur internet d'un côté, connectée au SI interne de l'autre — en fait une cible stratégique de premier ordre. Une compromission de la gateway mail ouvre un accès direct aux communications internes, aux identités des collaborateurs, aux partenaires commerciaux, et dans certains cas aux secrets présents dans les pièces jointes ou les e-mails archivés.

Les organisations utilisant FortiMail pour le chiffrement TLS de leurs e-mails ou pour la gestion des certificats S/MIME sont particulièrement exposées : un attaquant ayant pris le contrôle de l'appliance peut intercepter les messages en clair avant chiffrement ou après déchiffrement, contournant l'intégralité de la protection cryptographique.

## Recommandations

- **Patcher immédiatement** vers FortiMail 8.0.2, 7.6.7 ou 7.4.9 selon votre branche — migrer depuis 7.2.x vers 7.4 minimum

- **Isoler l'interface d'administration** : restreindre l'accès HTTPS au port 443 aux seules adresses IP des équipes IT, bloquer tout accès depuis l'internet public

- **Auditer les fichiers récents** dans les répertoires web FortiMail pour détecter d'éventuels webshells plantés avant patch

- **Analyser les logs HTTPS** sur les 30 derniers jours pour des requêtes contenant ../ ou %00

- **Vérifier les connexions sortantes** inhabituelles depuis l'appliance FortiMail vers des adresses IP inconnues

#### Alerte critique

CVE-2026-104286 est activement exploitée contre des cibles identifiées depuis mi-septembre 2026. Avec un CVSS de 9.8 et une exploitation sans authentification, chaque heure sans correctif représente une fenêtre d'exposition. Si vous n'avez pas encore patché votre FortiMail, lancez une investigation forensique avant la mise à jour pour détecter une éventuelle compromission antérieure.

### Mon FortiMail n'est pas exposé directement sur internet : suis-je protégé ?

Pas nécessairement. Si votre FortiMail reçoit des e-mails depuis l'internet — ce qui est sa fonction première — le port SMTP 25 est exposé, et certaines variantes d'exploitation passent par ce vecteur. De plus, si votre interface d'administration est accessible depuis un réseau compromis ou depuis un VPN, l'isolation relative n'offre aucune protection contre un attaquant ayant déjà un point de présence dans votre SI. Appliquez le patch dans tous les cas, et considérez l'audit forensique si votre appliance tourne en version vulnérable depuis début octobre.

### Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.
[Demander un audit](#)