Fortinet a publié le 1er octobre 2026 un avis de sécurité sur une faille critique de sa passerelle de messagerie FortiMail, la CVE-2026-104286, notée 9,8 sur 10 et déjà exploitée par des attaquants. Dans sa version mise à jour le 7 octobre, l’avis range cinq branches parmi les vulnérables : 7.0, 7.2, 7.4, 7.6 et 8.0. Les versions 7.4.9, 7.6.7 et 8.0.2, annoncées « à venir » le 1er octobre, y figurent désormais comme solutions, et seule la 7.2.10 reste attendue. Pour les appareils non corrigés, l’éditeur propose d’abord de désactiver le chiffrement IBE et, à défaut, de fermer l’interface webmail à Internet.
Une écriture de fichiers possible sans mot de passe
D’après l’avis FG-IR-26-175 détaillé par BleepingComputer, la faiblesse associe une traversée de répertoire (CWE-22) à un mauvais traitement de l’octet nul (CWE-158). Concrètement, un attaquant qui n’est pas authentifié peut, au moyen de requêtes HTTP ou HTTPS fabriquées pour l’occasion, déposer les fichiers de son choix sur le système qui fait tourner l’appareil. Selon le média, la faille est exploitée pour faire exécuter du code ou des commandes non autorisés aux appareils vulnérables.
Le défaut a été repéré en interne par Gwendal Guégniaud, de l’équipe de sécurité produit de Fortinet, indique The Hacker News. L’éditeur admet pourtant que la faille a servi dans des attaques réelles avant la diffusion de correctifs, d’où le qualificatif de « zero-day ». Plusieurs zones d’ombre demeurent : ni la date de début des attaques, ni le nombre de systèmes compromis, ni l’identité des attaquants n’ont été rendus publics.
Quelles versions de FortiMail sont touchées
Les 1er et 2 octobre, les deux médias listaient quatre branches vulnérables. L’avis de Fortinet, révisé le 5 octobre pour les solutions puis le 7 octobre, en compte désormais cinq :
- FortiMail 8.0.0 à 8.0.1 : passer à la 8.0.2 ou à une version ultérieure ;
- FortiMail 7.6.0 à 7.6.6 : passer à la 7.6.7 ou au-delà ;
- FortiMail 7.4.0 à 7.4.8 : passer à la 7.4.9 ou au-delà ;
- FortiMail 7.2.0 à 7.2.9 : attendre la 7.2.10, toujours annoncée « à venir » ;
- FortiMail 7.0, toutes versions : migrer vers une version corrigée.
Le calendrier a donc bougé. Le 1er octobre, les versions 7.4.9, 7.6.7 et 8.0.2 étaient présentées comme « à venir », et les deux médias conseillaient aux utilisateurs de la 7.2 de rejoindre la branche 7.4. L’avis actuel prévoit une 7.2.10 et ne qualifie plus que celle-ci d’« à venir ». Avant de planifier une mise à jour, mieux vaut vérifier sur la page de l’avis que la version visée est publiée et figure parmi les versions corrigées. Les clients de FortiMail Cloud n’ont rien à faire : Fortinet indique avoir corrigé le service le 5 octobre.
Les parades à appliquer sans attendre
Pour les installations encore privées de correctif, l’avis de Fortinet place un contournement en tête : désactiver la prise en charge du chiffrement basé sur l’identité (IBE), soit dans l’interface graphique (menu Encryption, rubrique IBE, service IBE sur « off »), soit en ligne de commande : config system encryption ibe, puis set status disable, puis end. Couper une fonction de chiffrement peut perturber les usages qui en dépendent : mieux vaut repérer à l’avance les équipes concernées et les prévenir.
À défaut, l’avis propose deux autres options. La première consiste à fermer l’accès à l’interface webmail de FortiMail depuis Internet, ou à le réserver à un réseau privé de confiance ; les articles des 1er et 2 octobre parlaient, eux, de l’interface d’administration. La seconde, pour qui place un pare-feu applicatif web devant FortiMail, revient à y bloquer les requêtes POST vers /ibe contenant la séquence « ../ ». Dans tous les cas, une interface joignable depuis n’importe où offre une cible permanente aux attaquants qui balaient le réseau à la recherche d’équipements exposés.
Comment savoir si votre FortiMail a déjà été visé
Comme la faille a été exploitée avant sa divulgation, appliquer les parades ne suffit pas : il faut aussi chercher les traces d’une intrusion déjà réalisée. Fortinet a diffusé des indicateurs de compromission. Côté fichiers, l’apparition de /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice ou /data/etc/ld.so.preload doit alerter, tout comme la modification de /bin/smit, /data/etc/httpd.conf ou /data/migadmin.tar.gz. Deux adresses IP sont liées aux attaques : 79.141.169.187 et 45.129.0.192.
Dans les journaux, BleepingComputer relève plusieurs signaux : une tâche planifiée liée à /migadmin, une déconnexion d’administrateur, une erreur de déchiffrement IBE causée par un encodage Base64 invalide, des échecs de connexion d’utilisateurs internes et la création, depuis la ligne de commande, d’un compte d’archivage baptisé « archive234 » qui pointe vers le serveur 79.141.169.187. D’après le média, ce réglage pourrait signifier que l’attaquant a configuré l’appareil compromis pour envoyer des données archivées vers ce serveur distant. Pour un équipement placé au cœur de la messagerie d’une organisation, le risque principal est donc celui d’une fuite de correspondance.
Un délai de trois jours imposé aux agences américaines
Fortinet dit se coordonner avec des agences gouvernementales, dont la CISA, l’agence fédérale américaine de cybersécurité. Cette dernière a inscrit la CVE-2026-104286 à son catalogue des vulnérabilités activement exploitées et a demandé aux agences fédérales civiles de corriger ou de contourner la faille au plus tard le 4 octobre 2026, avec, selon BleepingComputer, un examen forensique des équipements. Un délai aussi serré traduit la gravité perçue. The Hacker News replace d’ailleurs cet épisode dans une série de failles exploitées sur des équipements réseau d’autres fabricants, dont Check Point, F5, Cisco et Citrix. Un boîtier FortiMail resté exposé sans parade depuis le 1er octobre mérite donc un examen approfondi, pas seulement une mise à jour.
Questions fréquentes
Mon FortiMail en version 7.2 sera-t-il protégé par une simple mise à jour ?
Oui, à terme. Le 1er octobre, Fortinet renvoyait les utilisateurs de la 7.2 vers la branche 7.4 ; son avis mis à jour annonce désormais une version 7.2.10, encore « à venir ». D’ici sa sortie, il faut appliquer l’un des contournements.
Désactiver l’IBE suffit-il à se protéger ?
C’est le contournement provisoire que Fortinet place en premier, en attendant le correctif. Il n’efface pas une intrusion antérieure : il faut aussi rechercher les indicateurs de compromission publiés par l’éditeur.
Qui a découvert la faille CVE-2026-104286 ?
Elle est créditée à Gwendal Guégniaud, de l’équipe de sécurité produit de Fortinet. L’éditeur n’a précisé ni depuis quand elle était exploitée ni qui se trouvait derrière les attaques.
Sources
- Fortinet warns of critical FortiMail flaw exploited in zero-day attacks — BleepingComputer, 2026-10-01
- Critical FortiMail Zero-Day Flaw Exploited in Attacks Allows Unauthenticated Arbitrary File Writes — The Hacker News, 2026-10-02
- FortiMail – Improper limitation of a pathname to a restricted directory (FG-IR-26-175) — Fortinet PSIRT (avis officiel), 2026-10-07