La faille zero-day de Fortinet sur FortiMail permet aux attaquants d'écrire des fichiers sans se connecter

Fortinet a divulgué le 1er octobre 2026 une vulnérabilité critique dans FortiMail, sa passerelle de sécurité des e-mails, et a indiqué que des attaquants l'exploitaient déjà. La faille, suivie sous la référence CVE-2026-104286, porte un score CVSS v3 de 9,8 et permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur l'appareil via des requêtes HTTP ou HTTPS conçues à cet effet. L'avis de Fortinet crédite Gwendal Guégniaud, de l'équipe Product Security de l'entreprise, pour la découverte et le signalement interne du problème, sans préciser quand cela s'est produit.

À lire aussi: Le zero-day de Cisco SD-WAN Manager laisse les attaquants entrer en administrateur · Deux zero-days Citrix NetScaler, trois semaines sans détection, et désormais une exploitation de masse.

FortiMail n'est pas un produit grand public. C'est la passerelle de messagerie qu'une organisation place devant ses serveurs de messagerie, et elle est exposée à l'internet public par conception, parce que le courrier l'est aussi. Un bug d'écriture de fichiers sur cette machine, joignable sans connexion, est le genre de faille qui transforme un équipement de périmètre en point d'ancrage pour un attaquant. La CISA a ajouté la CVE à son catalogue des vulnérabilités exploitées connues le jour même de sa divulgation et a donné aux agences fédérales civiles américaines jusqu'au 4 octobre pour mener une analyse forensique et appliquer des mesures d'atténuation, selon The Hacker News.

Les branches concernées, selon l'avis PSIRT FG-IR-26-175 de Fortinet, sont FortiMail 8.0.0 à 8.0.1, 7.6.0 à 7.6.6, 7.4.0 à 7.4.8 et 7.2.0 à 7.2.9.

Ce que fait réellement la faille

L'avis classe le bug sous deux faiblesses. La première est une limitation incorrecte d'un nom de chemin à un répertoire restreint, CWE-22, la classe généralement appelée traversée de chemin. La seconde est une neutralisation incorrecte d'un octet ou caractère NULL, CWE-158. Combinées, elles permettent à une requête de sortir de l'emplacement auquel elle est censée être confinée et d'écrire dans un chemin choisi par l'attaquant.

Le détail qui distingue cette faille est l'endroit où l'écriture atterrit. Le tableau de Fortinet situe le composant au niveau de l'interface graphique, et sa ligne d'impact indique « exécuter du code ou des commandes non autorisés ». Une écriture de fichiers arbitraires donne un point d'appui à un attaquant. Un fichier placé dans le bon répertoire peut être chargé, exécuté ou utilisé pour modifier la configuration de l'appareil lui-même, ce qui explique que le contournement cible le chemin de la requête lui-même.

Le score CVSS v3 de 9,8 n'est pas une appréciation subjective. Le vecteur de Fortinet, AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, se lit comme joignable par le réseau, de faible complexité, sans privilèges requis et sans interaction de l'utilisateur, avec un impact élevé sur la confidentialité, l'intégrité et la disponibilité. Un attaquant qui peut atteindre l'interface vulnérable n'a besoin d'aucun compte et n'a pas à convaincre un administrateur d'ouvrir quoi que ce soit. Écrire des fichiers au bon endroit sur un appareil est à un pas de l'exécution de code dessus.

« Une limitation incorrecte d'un nom de chemin à un répertoire restreint ("traversée de chemin") [CWE-22] et une neutralisation incorrecte d'un octet NULL ou d'un caractère NULL [CWE-158] peuvent permettre à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système sous-jacent via des requêtes HTTP ou HTTPS conçues à cet effet. » — Avis PSIRT FG-IR-26-175 de Fortinet, 1er octobre 2026

Pourquoi une passerelle de messagerie se trouve sur la ligne de tir

Une passerelle de sécurité des e-mails est joignable depuis internet parce que c'est de là que vient le courrier. La même exposition qui lui permet de filtrer le courrier entrant permet à un attaquant d'envoyer des requêtes vers sa surface de gestion. Les fonctions propres de FortiMail élargissent cette surface : le contournement de l'avis désactive IBE, le service de chiffrement basé sur l'identité de la plateforme, ce qui place le chemin joignable à l'intérieur d'une fonctionnalité que le produit existe pour offrir.

Le courrier est aussi une frontière de confiance. Une passerelle qui inspecte les messages voit des contenus que beaucoup d'autres systèmes ne voient pas, et elle détient la configuration et les identifiants du flux de messagerie qu'elle gère. Un attaquant capable d'écrire des fichiers sur ce système peut modifier ce qu'il fait du courrier dont il a la charge. Help Net Security a noté que la faille a été découverte en interne et que Fortinet n'a pas précisé quand ni où les attaques ont été repérées.

Cette combinaison est ce qui rend cette classe de bug durable. Les fournisseurs ne peuvent pas simplement isoler l'appareil derrière un pare-feu, parce que son rôle est d'être tourné vers l'extérieur. Les exploitants peuvent restreindre l'interface de gestion à un réseau de confiance, et Fortinet recommande exactement cela, mais l'appareil répond toujours au courrier venu de n'importe où.

L'horloge fédérale, et ce qu'elle ne couvre pas

L'inscription de la CISA au catalogue KEV le 1er octobre a fixé au 4 octobre 2026 l'échéance pour que les agences fédérales civiles mènent une analyse forensique et appliquent des mesures d'atténuation, a rapporté The Register. Trois jours calendaires, dont un week-end. Cette horloge lie les agences fédérales. Elle signale la gravité à tous les autres, et elle ne bouge pas les appareils du secteur privé.

La fenêtre est courte même selon les critères du KEV, et elle a été fixée avant que Fortinet ait fini de livrer des correctifs pour chaque branche. La directive de la CISA marque la gravité ; elle ne signifie pas qu'un correctif attendait. Les agences ont été invitées à analyser d'abord et à atténuer avec ce qui était disponible, ce qui, en pratique, signifiait le contournement pour quiconque dont la branche n'avait pas encore de version publiée. Les exploitants privés n'ont reçu aucune échéance, seulement une entrée de catalogue.

Le plus embarrassant est ce que The Register a documenté : Fortinet listait les correctifs de plusieurs branches concernées comme « à venir » au moment de l'alerte. Un correctif « à venir » signifie qu'un exploitant qui suit les recommandations du fournisseur ne peut pas encore corriger et doit se rabattre sur un contournement qui modifie le comportement du produit. Help Net Security a rapporté que les correctifs prévus étaient les versions 8.0.2, 7.6.7 et 7.4.9, et que les utilisateurs de FortiMail 7.2 devaient passer à la branche 7.4 ou supérieure. Le tableau des solutions de l'avis nomme 8.0.2, 7.6.7 et 7.4.9 comme cibles de mise à niveau, les utilisateurs de FortiMail 7.2 étant dirigés vers la branche 7.4 ou supérieure.

Une année 2026 d'équipements de périphérie exploités

Le bug de FortiMail n'est pas un incident isolé. The Hacker News le classe aux côtés d'une série d'équipements de périphérie et de sécurité activement exploités en 2026 : Check Point (CVE-2026-85102 et CVE-2026-93616), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP Access Policy Manager (CVE-2026-94127), Cisco Catalyst SD-WAN Manager (CVE-2026-76504) et Citrix NetScaler ADC et Gateway (CVE-2026-88771 et CVE-2026-88772).

TechPastWeek a couvert deux de ces épisodes ce mois-ci. La faille zero-day de Cisco SD-WAN Manager était un contournement d'authentification qui aboutissait à une session d'administration ; les zero-days de Citrix NetScaler ont été exploités massivement durant les mêmes journées. Le schéma est constant : des produits de sécurité et de réseau exposés à internet, des bugs non authentifiés ou pré-authentification, et une exploitation qui commence avant que les défenseurs aient un correctif en main.

SecurityWeek a présenté la divulgation de FortiMail comme une action urgente pour exactement cette raison. Les appareils partagent une propriété qui les rend attractifs : ils sont de confiance, ils se trouvent en périphérie, et compromettre l'un d'eux peut atteindre tout ce qui se trouve derrière.

Comment vérifier la compromission d'un FortiMail

Fortinet a publié des indicateurs de compromission, et l'avis est le point de départ. Il liste deux adresses IP d'attaque, 79.141.169[.]187 et 45.129.0[.]192, ainsi que des motifs de journal dans le journal d'événements système et le journal de chiffrement. The Hacker News a rapporté des indicateurs supplémentaires au niveau des fichiers : des fichiers ajoutés à /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice et /data/etc/ld.so.preload, ainsi que des modifications de /bin/smit, /data/etc/httpd.conf et /data/migadmin.tar.gz.

Deux mises en garde accompagnent cette liste. Les entrées du journal d'événements de Fortinet incluent une activité d'administration d'apparence ordinaire, une seule correspondance a donc besoin de contexte avant de devenir une constatation. Et comme The Register l'a souligné, appliquer le contournement n'éliminera pas les fichiers ou les mécanismes de persistance qu'un attaquant a pu déjà placer. Un hôte qui correspond à un indicateur a besoin d'une véritable enquête de compromission avant de retourner en production.

Le contournement, aussi longtemps que nécessaire

Lorsqu'une mise à niveau n'est pas encore possible, le contournement de Fortinet fait deux choses. Il désactive la prise en charge d'IBE, soit via l'interface graphique sous Encryption, puis IBE, soit avec la commande CLI config system encryption ibe suivie de set status disable et end. Et il invite les administrateurs à bloquer l'accès à l'interface de gestion de FortiMail depuis internet ou à le restreindre à un réseau privé de confiance.

SOC Prime, en examinant les conseils d'atténuation le 5 octobre, a noté qu'aucun correctif virtuel fourni par le fournisseur n'était listé, le contournement est donc l'option jusqu'à l'arrivée d'une version corrigée.

Réserves

Fortinet n'a pas dit quand les attaques ont commencé, qui en est à l'origine, ni combien de clients ont été compromis. L'avis reconnaît une exploitation active et publie des indicateurs ; il n'attribue pas l'activité à un groupe nommé, et aucune attribution crédible n'apparaît dans la couverture examinée ici. Rien dans cet article ne doit être lu comme désignant un acteur particulier.

La date de découverte interne est également absente. L'avis crédite Guégniaud et liste la divulgation au 1er octobre, qui est la limite publique de ce qui est connu. SOC Prime a couvert les mêmes faits le 5 octobre sans ajouter de chronologie. Fortinet n'a pas non plus publié de correctif pour toutes les branches en même temps, l'état de chaque appareil dépend donc de sa version et du fait que son exploitant a agi ou non.

Une chose de plus que les sources ne tranchent pas : l'ampleur du déploiement de FortiMail face à internet. La population des interfaces de gestion exposées est le chiffre qui nous dirait combien de risque subsiste, et personne ne l'a publié.

Ce qu'il faut surveiller

• Achèvement des correctifs. Fortinet liste 8.0.2, 7.6.7 et 7.4.9 comme cibles de mise à niveau. La question ouverte est de savoir si les exploitants hors des agences fédérales ont agi.
• Vérifications de persistance. Le contournement ne nettoie pas un hôte déjà compromis. Les indicateurs des listes de fichiers et de journaux de l'avis sont le point de départ, pas la fin d'une enquête.
• Indicateurs mis à jour. Deux adresses IP et un ensemble de chemins de fichiers décrivent ce qui a été observé, pas tout ce qu'un exploitant pourrait rencontrer. De nouvelles variantes élargiraient la chasse.
• La prochaine faille de périphérie. FortiMail rejoint une liste 2026 qui comprend déjà Cisco, Citrix, Check Point, F5 et Arista. Traiter chaque appareil corrigé comme la fin du problème manque le schéma.

Fortinet a corrigé la faille. L'échéance de la CISA pour les agences fédérales est passée le 4 octobre, et personne n'a publié combien des autres appareils FortiMail ont été mis à jour en premier.

Image de couverture : « Fortinet FortiGate 6501F.png » de Premeditated via Wikimedia Commons, CC BY-SA 4.0. La photo montre un appareil Fortinet, et non un FortiMail.