Le 1er octobre 2026, Fortinet a publié un avis sur CVE-2026-104286 et signalé une exploitation active visant FortiMail. La faille touche l'interface de gestion : une requête HTTP ou HTTPS spécialement construite peut permettre à un attaquant non authentifié d'écrire des fichiers sur l'appliance. CISA a ensuite ajouté la vulnérabilité à son catalogue KEV.
Fortinet ne donne pas de décompte public des appareils compromis. L'ajout au catalogue KEV confirme l'exploitation connue, mais ne permet pas de conclure qu'une installation donnée a été touchée.
Ce que l'avis Fortinet confirme
L'avis décrit une traversée de chemin combinée à un traitement incorrect du caractère nul. Les branches FortiMail 8.0, 7.6, 7.4 et 7.2 sont concernées dans les plages indiquées dans la FAQ. L'accès réseau à l'interface de gestion est un élément déterminant pour l'exposition.
Fortinet ne publie pas dans son avis l'identité des attaquants ni le nombre d'organisations touchées. Ne déduisez pas une compromission à partir de la seule version : vérifiez aussi les journaux et les accès.
Mesures à prendre sans attendre
Inventory appliances and software branches, then apply the corresponding fixed release: 7.4.9, 7.6.7 or 8.0.2. For branch 7.2 devices, Fortinet recommends migrating to 7.4 or later; verify that the target is fixed. Until the update is installed, follow the vendor's temporary guidance: disable IBE support (config system encryption ibe, set status disable, end) or restrict management-interface access to trusted private networks.
Conservez les journaux avant toute opération de nettoyage. Recherchez des fichiers ou comptes inattendus, des connexions d'administration inhabituelles et des tâches planifiées anormales. Si vous repérez un signe concret d'intrusion, isolez l'appliance selon votre procédure, préservez les éléments et contactez votre équipe de réponse.
Pourquoi la messagerie mérite une vérification dédiée
Une appliance de sécurité de messagerie se trouve au croisement des flux de courrier et de l'administration. Une compromission confirmée justifie donc d'examiner les comptes privilégiés, les règles de routage et les secrets techniques auxquels elle pouvait accéder. Après remédiation, renouvelez les identifiants exposés selon un ordre maîtrisé.
Le lien avec Soclyde
Soclyde ne corrige pas FortiMail et ne détecte pas une intrusion. Son coffre peut aider une équipe à retrouver les identifiants d'administration, de relais et de sauvegarde pour les renouveler et les répartir de façon contrôlée.
À retenir
CVE-2026-104286 est exploitée : vérifiez chaque appliance FortiMail, appliquez les consignes de l'éditeur et gardez les preuves si une activité paraît anormale. Consultez le guide sur la gestion des accès d'équipe ou contactez Soclyde.
