FortiMail : la faille zero-day CVE-2026-104286 exploitée
Fortinet a révélé une vulnérabilité critique dans FortiMail, son équipement de sécurité de la messagerie. Des attaquants l'exploitent déjà activement pour exécuter du code ou des commandes non autorisés sur les appareils exposés. Référencée CVE-2026-104286, la faille obtient un score CVSS de 9,8 et se trouve dans l'interface d'administration du produit.
Pour la plupart des branches concernées, les correctifs ne sont pas encore disponibles. Pour l'instant, de nombreux administrateurs doivent se contenter de mesures de contournement.
Le fonctionnement de la faille
Dans son bulletin publié jeudi, Fortinet décrit le bogue comme la combinaison de deux faiblesses. La première est une traversée de répertoire (CWE-22). La seconde est une mauvaise gestion des octets ou caractères NULL (CWE-158). Ensemble, elles pourraient permettre à un attaquant sans identifiants d'écrire des fichiers arbitraires sur le système sous-jacent en envoyant des requêtes HTTP ou HTTPS spécialement conçues.