FortiMail-zeroday CVE-2026-104286 actief misbruikt
Fortinet heeft een kritieke kwetsbaarheid bekendgemaakt in FortiMail, zijn appliance voor e-mailbeveiliging. Aanvallers misbruiken het lek al in het wild om ongeautoriseerde code of opdrachten uit te voeren op apparaten die vanaf internet bereikbaar zijn. De kwetsbaarheid heeft het kenmerk CVE-2026-104286, een CVSS-score van 9,8 en zit in de beheerinterface van het product.
Voor de meeste getroffen versietakken zijn nog geen patches beschikbaar. Veel beheerders kunnen voorlopig alleen terugvallen op tijdelijke oplossingen.
Zo werkt het lek
In zijn advisory, die donderdag verscheen, omschrijft Fortinet de bug als een combinatie van twee zwakheden. De eerste is een path traversal-probleem (CWE-22). De tweede is een onjuiste verwerking van NULL-bytes of NULL-tekens (CWE-158). Samen kunnen ze een aanvaller zonder inloggegevens in staat stellen om willekeurige bestanden naar het onderliggende systeem te schrijven, door speciaal geprepareerde HTTP- of HTTPS-verzoeken te sturen.