CVE-2026-104286 : zero-day FortiMail CVSS 9.8 — écriture de fichiers sans authentification

Les faits

Fortinet a divulgué le 1er octobre 2026 une vulnérabilité critique dans FortiMail, son appliance de sécurisation des messageries électroniques d'entreprise. La faille, référencée CVE-2026-104286 et notée 9.8 sur l'échelle CVSS v3.1, permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système hôte via des requêtes HTTP ou HTTPS spécialement forgées. Aucun compte valide ni accès préalable n'est requis — l'exploitation est entièrement possible à distance depuis Internet.

Sur le plan technique, Fortinet associe cette vulnérabilité à deux faiblesses CWE : CWE-22 (path traversal) et CWE-158 (mauvaise neutralisation des octets NULL). En combinant ces deux primitives, un attaquant soumet une requête contenant un chemin de fichier manipulé incluant des séquences ../ et des octets NULL pour écrire un fichier hors du répertoire autorisé. Selon les fichiers écrits, l'impact va de la modification de configurations à l'injection de webshells permettant l'exécution de commandes système.

Les versions affectées couvrent une large base installée : FortiMail 8.0.0 à 8.0.1 (branche la plus récente), 7.6.0 à 7.6.6, 7.4.0 à 7.4.8, et 7.2.0 à 7.2.9. Les versions correctives publiées simultanément sont : 8.0.2, 7.6.7, 7.4.9 et 7.2.10 selon la branche en production.

Le même 1er octobre 2026, la CISA américaine a intégré CVE-2026-104286 à son catalogue KEV (Known Exploited Vulnerabilities), confirmant une exploitation active dans la nature. Cette inscription ne repose pas sur des preuves théoriques : Fortinet a transmis à la CISA des indicateurs de compromission issus d'incidents réels, incluant des fichiers système ajoutés ou modifiés sur des appliances compromises et des webshells PHP découverts dans des répertoires sensibles.

La CISA a imposé aux agences fédérales FCEB une échéance au 4 octobre 2026 — soit seulement 3 jours après la publication. Ce délai exceptionnel, contre le standard habituel de 14 jours pour les CVE du KEV, témoigne de la sévérité perçue. La directive BOD 22-01 exige des agences non conformes qu'elles justifient tout retard de remédiation sous peine de sanctions administratives.

Un proof-of-concept (PoC) public pour CVE-2026-104286 a été indexé peu après la divulgation officielle, abaissant drastiquement la barrière technique à l'exploitation. Avant même la disponibilité de ce PoC, des acteurs malveillants avaient déjà compromis des appliances dans des incidents réels. La disponibilité publique du PoC accélère mécaniquement les tentatives par des opérateurs de ransomware qui automatisent les scans et l'exploitation des appliances Fortinet accessibles sur Internet.

FortiMail est déployé en passerelle email anti-spam, anti-phishing et de chiffrement dans des milliers d'organisations. Exposé directement sur Internet par définition (le port SMTP 25/TCP doit être accessible), il représente une surface d'attaque de premier plan. Un webshell injecté via cette faille permet à l'attaquant d'utiliser l'appliance comme point d'entrée initial, d'accéder aux emails transitant par la passerelle, d'exfiltrer des données sensibles ou de pivoter vers les serveurs mail internes.

CVE-2026-104286 s'inscrit dans un pattern répétitif de ciblage des appliances Fortinet par des acteurs étatiques (Volt Typhoon, UNC3886) et des groupes de ransomware (LockBit, Cl0p). Ces deux dernières années, FortiOS, FortiProxy et FortiNAC ont tous été touchés par des CVE critiques exploitées massivement dans les heures ou les jours suivant leur divulgation. Chaque nouvelle faille Fortinet devient un vecteur d'accès industrialisé presque immédiatement.

Impact et exposition

Toute organisation ayant déployé FortiMail dans une version antérieure aux correctifs du 1er octobre 2026 est exposée si l'appliance est accessible depuis Internet. L'absence de prérequis d'authentification signifie que n'importe quel attaquant avec un accès réseau à l'appliance peut exploiter la faille avec le seul PoC public. Les secteurs les plus exposés : opérateurs télécoms, fournisseurs d'accès, grandes entreprises, collectivités et établissements de santé. En France, de nombreuses organisations ont déployé FortiMail dans le cadre de contrats Fortinet via des intégrateurs, sans procédure de patch management formalisée pour ces appliances.

Recommandations

• Patcher immédiatement : mettre à jour vers FortiMail 8.0.2+, 7.6.7+, 7.4.9+ ou 7.2.10+ selon la branche utilisée
• Vérifier l'intégrité du système : rechercher des fichiers récemment créés ou modifiés dans les répertoires web de FortiMail, notamment des webshells (.php, .jsp, .asp)
• Consulter les IoC Fortinet publiés dans l'avis PSIRT pour déterminer si l'appliance a été compromise avant le patch
• Restreindre l'accès administratif : isoler l'interface HTTPS d'administration derrière un réseau de gestion dédié ou un VPN d'administration
• Activer la journalisation avancée et surveiller via SIEM les requêtes HTTP/HTTPS anormales vers FortiMail, notamment celles contenant des séquences ../