Le 1er octobre 2026, Fortinet a publié un avis sur CVE-2026-104286 et signalé une exploitation active visant FortiMail. La faille touche l'interface de gestion : une requête HTTP ou HTTPS spécialement construite peut permettre à un attaquant non authentifié d'écrire des fichiers sur l'appliance. CISA a ensuite ajouté la vulnérabilité à son catalogue KEV.
Fortinet ne donne pas de décompte public des appareils compromis. L'ajout au catalogue KEV confirme l'exploitation connue, mais ne permet pas de conclure qu'une installation donnée a été touchée.
Ce que l'avis Fortinet confirme
L'avis décrit une traversée de chemin combinée à un traitement incorrect du caractère nul. Les branches FortiMail 8.0, 7.6, 7.4 et 7.2 sont concernées dans les plages indiquées dans la FAQ. L'accès réseau à l'interface de gestion est un élément déterminant pour l'exposition.
Fortinet ne publie pas dans son avis l'identité des attaquants ni le nombre d'organisations touchées. Ne déduisez pas une compromission à partir de la seule version : vérifiez aussi les journaux et les accès.
Mesures à prendre sans attendre
Inventoriez les appliances et leur branche logicielle, puis comparez-les à l'avis du fournisseur. Les versions corrigées annoncées sont 7.4.9, 7.6.7 et 8.0.2. Fortinet indique aux appareils 7.2 de migrer vers 7.4 ou une branche ultérieure; ne vous arrêtez pas sur 7.4.0 à 7.4.8, qui sont vulnérables. Vérifiez la disponibilité et la version cible dans l'avis officiel. En attendant le correctif, Fortinet recommande de désactiver la prise en charge IBE (config system encryption ibe, set status disable, end) ou de restreindre l'accès à l'interface de gestion aux réseaux privés de confiance.
Conservez les journaux avant toute opération de nettoyage. Recherchez des fichiers ou comptes inattendus, des connexions d'administration inhabituelles et des tâches planifiées anormales. Si vous repérez un signe concret d'intrusion, isolez l'appliance selon votre procédure, préservez les éléments et contactez votre équipe de réponse.
Pourquoi la messagerie mérite une vérification dédiée
Une appliance de sécurité de messagerie se trouve au croisement des flux de courrier et de l'administration. Une compromission confirmée justifie donc d'examiner les comptes privilégiés, les règles de routage et les secrets techniques auxquels elle pouvait accéder. Après remédiation, renouvelez les identifiants exposés selon un ordre maîtrisé.
Le lien avec Soclyde
Soclyde ne corrige pas FortiMail et ne détecte pas une intrusion. Son coffre peut aider une équipe à retrouver les identifiants d'administration, de relais et de sauvegarde pour les renouveler et les répartir de façon contrôlée.
À retenir
CVE-2026-104286 est exploitée : vérifiez chaque appliance FortiMail, appliquez les consignes de l'éditeur et gardez les preuves si une activité paraît anormale. Consultez le guide sur la gestion des accès d'équipe ou contactez Soclyde.
