CVE-2026-104286 : FortiMail zero-day CVSS 9.8 exploité — écriture arbitraire sans auth

Les faits

Le 1er octobre 2026, Fortinet a publié l'advisory FG-IR-26-175 révélant CVE-2026-104286, une vulnérabilité zero-day de gravité critique (CVSS v3.1 : 9.8) affectant le composant GUI de FortiMail. La même journée, la CISA ajoutait cette CVE à son catalogue des Known Exploited Vulnerabilities (KEV) — signal sans équivoque d'une exploitation active dans la nature à la date de divulgation. Cela signifie que Fortinet avait connaissance des compromissions avant même de publier l'advisory, et que les attaquants bénéficiaient d'une avance opérationnelle significative sur les équipes de défense.

La faille est classifiée comme un path traversal combiné à une neutralisation incorrecte des octets NULL (CWE-22 et CWE-158). En envoyant des requêtes HTTP ou HTTPS spécialement forgées vers le composant GUI de FortiMail, un attaquant distant non authentifié peut manipuler les chemins de fichiers et écrire des fichiers en dehors de leurs emplacements prévus sur l'appliance. Aucun compte valide n'est nécessaire, aucune interaction utilisateur requise : la barrière à l'exploitation est quasi inexistante.

La portée opérationnelle dépasse largement une simple écriture de fichier. Sur une appliance de messagerie sécurisée, cette primitive peut être chaînée pour obtenir une exécution de code à distance (RCE) et établir une persistance furtive. Les webshells déposés dans le répertoire de l'interface web ou la modification de scripts d'initialisation sont des techniques classiques post-exploitation dans ce type de scénario. FortiMail est positionné en frontal d'Internet, exposé aux flux entrants en permanence, avec des accès privilégiés aux flux de messagerie de l'entreprise — un positionnement stratégique pour tout acteur cherchant à s'installer durablement.

Les versions affectées couvrent un périmètre large : FortiMail 8.0.0 à 8.0.1, 7.6.0 à 7.6.6, 7.4.0 à 7.4.8, et 7.2.0 à 7.2.9. Fortinet a livré des correctifs dans FortiMail 7.4.9, 7.6.7 et 8.0.2. La branche 7.2.x est particulièrement problématique : aucun patch n'était disponible au moment de la publication de l'advisory, plaçant les utilisateurs dans une fenêtre de vulnérabilité prolongée sans autre recours que les mitigations réseau.

Les premières campagnes d'exploitation observées par SOCRadar et SOCPrime ont ciblé des organisations dans les secteurs financier, gouvernemental et de l'énergie — précisément ceux qui déploient massivement FortiMail pour sécuriser leurs flux de messagerie critiques. Ce ciblage n'est pas anodin : une appliance de messagerie sécurisée compromise donne accès aux communications les plus sensibles de l'organisation, des instructions de virement aux échanges de direction, sans déclencher les alertes habituelles des solutions EDR orientées endpoint.

CVE-2026-104286 s'inscrit dans un schéma récurrent chez Fortinet. En 2025, CVE-2025-61624 (FortiOS path traversal, CVSS 8.1) avait déjà fait l'objet d'une alerte CISA KEV et ciblé des infrastructures gouvernementales. En 2024, CVE-2024-21762 (FortiOS SSL-VPN, CVSS 9.6) avait été exploitée par des groupes APT avant même la publication du correctif. L'historique montre que ces failles ne restent jamais longtemps dans le domaine expérimental — elles migrent rapidement vers des campagnes d'exploitation à grande échelle.

Pour les organisations qui n'ont pas encore patché à mi-octobre 2026, la question n'est plus seulement "comment patcher ?" mais "ai-je déjà été compromis ?" L'addition au KEV CISA le jour même de l'advisory indique que les attaquants avaient plusieurs jours, voire plusieurs semaines, d'avance. Une investigation forensique préalable au patching est vivement recommandée pour les appliances exposées sur Internet depuis le 1er octobre sans restriction d'accès.

Du point de vue des défenseurs, l'architecture des appliances réseau sécurisées pose un problème structurel récurrent : elles sont perçues comme des outils de protection et non comme des surfaces d'attaque. Cette perception biaise la priorité de patch management — on assume que l'outil de défense est en sécurité. CVE-2026-104286 rappelle, comme ses prédécesseurs, que les appliances réseau sont des cibles à part entière, exposées en permanence et souvent sous-surveillées.

Impact et exposition

Toute organisation déployant une appliance FortiMail dans les versions affectées, accessible depuis Internet ou depuis un réseau adjacent non segmenté, est potentiellement vulnérable. Le composant GUI étant le vecteur d'attaque, le port d'administration web et le port de traitement du webmail constituent la surface d'exposition principale. Une compromission réussie permet l'écriture de fichiers arbitraires, chaînable vers une RCE, l'interception des flux de messagerie, et l'établissement d'une persistance durable sur une appliance considérée à tort comme un outil de défense.

Recommandations

• Mettre à jour immédiatement vers FortiMail 7.4.9, 7.6.7 ou 8.0.2 selon la branche déployée
• Si la mise à jour n'est pas possible immédiatement, restreindre l'accès au GUI FortiMail aux seules IP d'administration de confiance via ACL
• Analyser les logs GUI pour détecter des requêtes HTTP/HTTPS anormales contenant des séquences de traversal (../, %2e%2e, %00)
• Vérifier l'intégrité des fichiers système de l'appliance — rechercher des fichiers récemment créés ou modifiés dans les répertoires de l'interface web
• Si une compromission est suspectée, considérer l'appliance comme compromise et procéder à une réinitialisation d'usine plutôt qu'à un simple patch