El día cero de FortiMail de Fortinet permite a los atacantes escribir archivos sin iniciar sesión

Fortinet reveló el 1 de octubre de 2026 una vulnerabilidad crítica en FortiMail, su puerta de enlace de seguridad de correo electrónico, y dijo que los atacantes ya la estaban usando. El fallo, registrado como CVE-2026-104286, tiene una puntuación CVSS v3 de 9.8 y permite que un atacante no autenticado escriba archivos arbitrarios en el dispositivo mediante solicitudes HTTP o HTTPS manipuladas. El aviso de Fortinet atribuye a Gwendal Guégniaud, del equipo de Seguridad de Producto de la empresa, haber encontrado y reportado el problema internamente, y no dice cuándo ocurrió.

Lectura relacionada: El día cero del SD-WAN Manager de Cisco permite a los atacantes entrar como administradores · Dos días cero de Citrix NetScaler, tres semanas sin detectar y ahora explotación masiva.

FortiMail no es un producto de consumo. Es la puerta de enlace de correo que una organización coloca delante de sus servidores de correo, y llega a internet por diseño porque el correo lo hace. Un fallo de escritura de archivos en esa máquina, alcanzable sin iniciar sesión, es el tipo de vulnerabilidad que convierte un dispositivo perimetral en un punto de apoyo para un atacante. La CISA añadió el CVE a su catálogo de Vulnerabilidades Explotadas Conocidas el mismo día en que se reveló y dio a las agencias civiles federales de EE. UU. hasta el 4 de octubre para realizar un análisis forense y aplicar mitigaciones, según The Hacker News.

Las ramas afectadas, según el aviso del PSIRT de Fortinet FG-IR-26-175, son FortiMail 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8 y 7.2.0 a 7.2.9.

Qué hace realmente el fallo

El aviso clasifica el fallo bajo dos debilidades. La primera es una limitación inadecuada de un nombre de ruta a un directorio restringido, CWE-22, la clase que suele llamarse path traversal. La segunda es la neutralización inadecuada de un byte o carácter NULL, CWE-158. Juntas, permiten que una solicitud escape del lugar al que debería estar confinada y escriba en una ruta que el atacante elige.

El detalle distintivo es dónde acaba la escritura. La tabla de Fortinet sitúa el componente en la GUI y su línea de impacto dice «ejecutar código o comandos no autorizados». La escritura arbitraria de archivos da al atacante un punto de apoyo. Un archivo colocado en el directorio adecuado puede cargarse, ejecutarse o usarse para alterar la propia configuración del dispositivo, y por eso la solución alternativa se centra en la propia ruta de la solicitud.

La puntuación CVSS v3 de 9.8 no es una opinión. El vector de Fortinet, AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, se lee como alcanzable por red, de baja complejidad, sin privilegios requeridos y sin interacción del usuario, con impacto alto en confidencialidad, integridad y disponibilidad. Un atacante que pueda llegar a la interfaz vulnerable no necesita cuenta y no tiene que convencer a un administrador de que abra nada. Escribir archivos en el lugar adecuado de un dispositivo está a un paso de ejecutar código en él.

«Una limitación inadecuada de un nombre de ruta a un directorio restringido ('Path Traversal') [CWE-22] y una neutralización inadecuada de un byte o carácter NULL [CWE-158] pueden permitir que un atacante no autenticado escriba archivos arbitrarios en el sistema subyacente mediante solicitudes HTTP o HTTPS manipuladas.» — aviso del PSIRT de Fortinet FG-IR-26-175, 1 de octubre de 2026

Por qué una puerta de enlace de correo está en la línea de fuego

Una puerta de enlace de seguridad de correo es alcanzable desde internet porque de ahí viene el correo. La misma exposición que le permite filtrar el correo entrante permite que un atacante envíe solicitudes a su superficie de gestión. Las propias funciones de FortiMail amplían esa superficie: la solución alternativa del aviso desactiva IBE, el servicio de cifrado basado en identidad de la plataforma, lo que sitúa la ruta alcanzable dentro de una funcionalidad que el producto existe para ofrecer.

El correo es también una frontera de confianza. Una puerta de enlace que inspecciona mensajes ve contenido que muchos otros sistemas no ven, y guarda configuración y credenciales del flujo de correo que gestiona. Un atacante que pueda escribir archivos en ese sistema puede cambiar lo que hace con el correo que tiene a su cargo. Help Net Security señaló que el fallo se encontró internamente y que Fortinet no reveló cuándo ni dónde se detectaron los ataques.

Esa combinación es lo que hace duradera esta clase de fallo. Los fabricantes no pueden simplemente aislar el dispositivo con un cortafuegos, porque su función es mirar hacia fuera. Los operadores pueden restringir la interfaz de gestión a una red de confianza, y Fortinet recomienda exactamente eso, pero el dispositivo sigue respondiendo al correo desde cualquier lugar.

El reloj federal y lo que no cubre

La inclusión en el KEV de la CISA el 1 de octubre fijó un plazo hasta el 4 de octubre de 2026 para que las agencias civiles federales realizaran un análisis forense y aplicaran mitigaciones, informó The Register. Tres días naturales, uno de ellos de fin de semana. Ese reloj vincula a las agencias federales. Señala la gravedad a todos los demás y no mueve a los dispositivos del sector privado.

La ventana es corta incluso para los estándares del KEV, y se fijó antes de que Fortinet hubiera terminado de distribuir correcciones para todas las ramas. La directiva de la CISA marca la gravedad; no significa que hubiera un parche esperando. A las agencias se les dijo que hicieran primero el triaje y mitigaran con lo que hubiera disponible, lo que en la práctica supuso la solución alternativa para quien tuviera una rama sin versión publicada aún. Los operadores privados no recibieron ningún plazo, solo una entrada en el catálogo.

La parte incómoda es lo que documentó The Register: Fortinet listó las correcciones de varias ramas afectadas como «próximas» cuando se dio la alarma. Una corrección «próxima» significa que un operador que sigue la propia guía del fabricante aún no puede parchear y tiene que recurrir a una solución alternativa que cambia el comportamiento del producto. Help Net Security informó de que las correcciones previstas eran las versiones 8.0.2, 7.6.7 y 7.4.9, y de que los usuarios de FortiMail 7.2 deberían pasar a la rama 7.4 o superior. La tabla de soluciones del aviso nombra 8.0.2, 7.6.7 y 7.4.9 como los destinos de actualización, con los usuarios de FortiMail 7.2 dirigidos a la rama 7.4 o superior.

Una racha de 2026 de dispositivos de borde explotados

El fallo de FortiMail no es un incidente aislado. The Hacker News lo enumera junto a una serie de dispositivos de borde y de seguridad explotados activamente en 2026: Check Point (CVE-2026-85102 y CVE-2026-93616), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP Access Policy Manager (CVE-2026-94127), Cisco Catalyst SD-WAN Manager (CVE-2026-76504) y Citrix NetScaler ADC y Gateway (CVE-2026-88771 y CVE-2026-88772).

TechPastWeek cubrió dos de esos episodios este mes. El día cero del SD-WAN Manager de Cisco fue una omisión de autenticación que terminaba en una sesión de administrador; los días cero de Citrix NetScaler se explotaron masivamente en esos mismos días. El patrón es constante: productos de seguridad y redes expuestos a internet, fallos no autenticados o previos a la autenticación, y explotación que comienza antes de que los defensores tengan un parche en la mano.

SecurityWeek enmarcó la revelación de FortiMail como una acción urgente precisamente por eso. Los dispositivos comparten una propiedad que los hace atractivos: son de confianza, están en el borde y comprometer uno puede alcanzar todo lo que hay detrás.

Cómo comprobar si un FortiMail está comprometido

Fortinet publicó indicadores de compromiso, y el aviso es el punto de partida. Enumera dos direcciones IP de ataque, 79.141.169[.]187 y 45.129.0[.]192, además de patrones en el registro de eventos del sistema y el registro de cifrado. The Hacker News informó de indicadores adicionales a nivel de archivo: archivos añadidos en /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice y /data/etc/ld.so.preload, junto con modificaciones en /bin/smit, /data/etc/httpd.conf y /data/migadmin.tar.gz.

Con esa lista van dos advertencias. Las entradas del registro de eventos de Fortinet incluyen actividad de administrador de aspecto ordinario, así que una sola coincidencia necesita contexto antes de convertirse en un hallazgo. Y, como subrayó The Register, aplicar la solución alternativa no eliminará los archivos ni los mecanismos de persistencia que un atacante pueda haber colocado ya. Un host que coincida con un indicador necesita una investigación de compromiso adecuada antes de volver a producción.

La solución alternativa, durante el tiempo que haga falta

Cuando aún no es posible actualizar, la solución alternativa de Fortinet hace dos cosas. Desactiva la compatibilidad con IBE, ya sea a través de la GUI en Cifrado y luego IBE, o con el comando de CLI config system encryption ibe seguido de set status disable y end. Y pide a los administradores que bloqueen el acceso a la interfaz de gestión de FortiMail desde internet o la restrinjan a una red privada de confianza.

SOC Prime, al revisar la guía de mitigación el 5 de octubre, señaló que no se listaba ningún parche virtual proporcionado por el fabricante, así que la solución alternativa es la opción hasta que llegue una compilación corregida.

Salvedades

Fortinet no ha dicho cuándo comenzaron los ataques, quién está detrás de ellos ni cuántos clientes fueron comprometidos. El aviso reconoce la explotación activa y publica indicadores; no atribuye la actividad a ningún grupo con nombre, y no aparece ninguna atribución creíble en la cobertura revisada aquí. Nada en este artículo debe leerse como una señal hacia un actor concreto.

También falta la fecha del descubrimiento interno. El aviso atribuye el hallazgo a Guégniaud y sitúa la revelación el 1 de octubre, que es el límite público de lo que se sabe. SOC Prime cubrió los mismos hechos el 5 de octubre sin añadir una cronología. Tampoco publicó Fortinet una corrección para todas las ramas a la vez, así que el estado de cada dispositivo depende de su versión y de si su operador se movió.

Hay algo más que las fuentes no aclaran: hasta qué punto FortiMail está desplegado de cara a internet. La población de interfaces de gestión expuestas es la cifra que nos diría cuánto riesgo queda, y nadie la ha publicado.

Qué observar

• Finalización del parcheo. Fortinet enumera 8.0.2, 7.6.7 y 7.4.9 como los destinos de actualización. Si los operadores fuera de las agencias federales se han movido es la incógnita.
• Comprobaciones de persistencia. La solución alternativa no limpia un host ya comprometido. Los indicadores de las listas de archivos y registros del aviso son el punto de partida, no el final de una investigación.
• Indicadores actualizados. Dos direcciones IP y un conjunto de rutas de archivos describen lo que se ha visto, no todo lo que un operador podría afrontar. Las nuevas variantes ampliarían la búsqueda.
• El próximo fallo de borde. FortiMail se suma a una lista de 2026 que ya incluye Cisco, Citrix, Check Point, F5 y Arista. Tratar cualquier dispositivo parcheado como el final del problema es no ver el patrón.

Fortinet ha parcheado el fallo. El plazo de la CISA para las agencias federales venció el 4 de octubre, y nadie ha publicado cuántos de los demás dispositivos FortiMail se actualizaron antes.

Imagen de portada: «Fortinet FortiGate 6501F.png», de Premeditated, vía Wikimedia Commons, CC BY-SA 4.0. La foto muestra un dispositivo Fortinet, no una unidad FortiMail.