شرکت Fortinet نسبت به وجود یک آسیب‌پذیری بحرانی در پلتفرم امنیت ایمیل خود (FortiMail) هشدار داده است. مهاجمان در حال حاضر از این نقص امنیتی برای نفوذ به سیستم‌های آسیب‌پذیر استفاده می‌کنند و نکته قابل توجه این است که برای اجرای این حمله، هیچ‌گونه احراز هویتی (Login) مورد نیاز نیست.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-104286 ردیابی می‌شود، دارای امتیاز CVSS 9.8 است. این آسیب‌پذیری ترکیبی از Path Traversal و مدیریت نادرست کاراکترهای Null در رابط وب FortiMail است. یک مهاجم بدون نیاز به احراز هویت می‌تواند با ارسال درخواست‌های دست‌کاری شده HTTP یا HTTPS، فایل‌های دلخواه خود را روی سیستم هدف بنویسد.
در صورتی که مهاجم بتواند فایل‌ها را در مسیرهای خاصی از سیستم قرار دهد، امکان اجرای کد یا دستورات (Remote Code Execution) روی دستگاه فراهم می‌شود.
نسخه‌های آسیب‌پذیر
- FortiMail نسخه‌های 8.0.0 تا 8.0.1
- نسخه‌های 7.6.0 تا 7.6.6
- نسخه‌های 7.4.0 تا 7.4.8
- نسخه‌های 7.2.0 تا 7.2.9
وضعیت فعلی و اقدامات اصلاحی
طبق اعلام Fortinet، این زیرو دِی در حال حاضر در محیط‌های واقعی مورد بهره‌برداری (Exploit in the wild) قرار دارد. سازمان CISA نیز این آسیب‌پذیری را به فهرست Known Exploited Vulnerabilities اضافه کرده و از سازمان‌های دولتی خواسته است تا هرچه سریع‌تر اقدامات اصلاحی را اجرا کنند.
در حالی که برای برخی نسخه‌ها اصلاحات (Patches) در حال آماده‌سازی است، Fortinet توصیه‌های زیر را برای کاهش ریسک ارائه داده است:
- غیرفعال کردن قابلیت Identity Based Encryption در صورت عدم نیاز.
- مسدود کردن دسترسی به رابط مدیریتی (Management Interface) از طریق اینترنت و محدود کردن آن به شبکه‌های خصوصی مورد اعتماد.
- بررسی سیستم‌ها برای یافتن نشانه‌های نفوذ (IoC)، زیرا اعمال وصله‌ها یا راهکارهای موقت، فایل‌های جاسوسی یا مکانیزم‌های Persistence ایجاد شده توسط مهاجم را حذف نمی‌کند.
به‌روزرسانی (اکتبر 2, 2026 — Malware News)
به‌روزرسانی: این آسیب‌پذیری بحرانی اکنون با شناسه CVE-2026-104286 شناخته می‌شود. تحلیل‌های جدید نشان می‌دهد که این نقص از نوع Path Traversal است که به مهاجم اجازه می‌دهد با ارسال درخواست‌های دست‌کاری شده، فایل‌های مخرب را خارج از پوشه‌های تعیین‌شده در سیستم قرار داده و در نهایت منجر به اجرای کد (RCE) شود.
نسخه‌های تحت تأثیر شامل FortiMail 7.2 تا 8.0.1 است. با توجه به اینکه هنوز وصله (Patch) رسمی منتشر نشده است، تیم PSIRT شرکت Fortinet توصیه می‌کند برای کاهش ریسک، قابلیت IBE را از طریق خط فرمان (CLI) با دستور config system encryption ibe set status disable end غیرفعال کنید. همچنین محدود کردن دسترسی به رابط مدیریتی (Management Interface) تنها به شبکه‌های خصوصی مورد اعتماد توصیه می‌شود.
برای شناسایی سرایت احتمالی، تحلیل‌گران امنیتی فهرستی از IOCها را منتشر کرده‌اند که شامل موارد زیر است:
- آدرس‌های IP مهاجم: 79.141.169.187 و 45.129.0.192
- فایل‌های مشکوک: ایجاد یا تغییر فایل‌هایی نظیر
/data/lib/liblog.soو/data/etc/ld.so.preloadو همچنین تغییر در/data/etc/httpd.conf. - هش‌های شناسایی: SHA256 فایل
webconsoleبرابر با7a6cea9f5c9e2e9994d4e3c4da73f86cf5acd05ea5d312c066c9d1dafd69ee38است.
