CVE-2026-104286 : Exploitation active d'une faille critique dans Fortinet FortiMail

🔍 Contexte

Source : Rescana, publiée le 4 octobre 2026. L’article est une alerte d’exploitation active concernant CVE-2026-104286 (également référencée FG-IR-26-175), une vulnérabilité critique affectant les appliances Fortinet FortiMail. La CISA a ajouté cette CVE à son catalogue KEV le 2026-10-01.

🛡️ Vulnérabilité

• Type : Path traversal (CWE-22) et injection de NULL byte (CWE-158)
• Composant affecté : Interface web FortiMail, fonctionnalité Identity-Based Encryption (IBE)
• Score CVSS v3 : 9.8 (Critique)
• Vecteur : Requêtes HTTP/HTTPS spécialement forgées, sans authentification requise
• Impact : Écriture arbitraire de fichiers, exécution de code à distance, compromission totale du système, exfiltration de données, mouvement latéral

📦 Versions affectées

• FortiMail 8.0.0 à 8.0.1
• FortiMail 7.6.0 à 7.6.6
• FortiMail 7.4.0 à 7.4.8
• FortiMail 7.2.0 à 7.2.9

⚔️ Exploitation observée

Les attaquants exploitent la faille via des séquences de path traversal (../) et des NULL bytes non filtrés dans les requêtes vers la fonctionnalité IBE. Les activités post-exploitation observées incluent :

• Dépôt de binaires malveillants et de webshells
• Modification de fichiers de configuration système
• Établissement de mécanismes de persistance
• Vol de credentials et exfiltration d’emails
• Connexions sortantes vers une infrastructure contrôlée par les attaquants
• Modification de fichiers de logs pour échapper à la détection

Aucun groupe APT spécifique n’est attribué à ce stade.

🔧 Atténuation

Aucun patch officiel disponible au moment de la publication. Les mitigations recommandées incluent la désactivation de la fonctionnalité IBE et la restriction d’accès à l’interface webmail.

📋 Type d’article

Alerte de sécurité à destination des équipes SOC et CTI, visant à informer sur une exploitation active et à fournir des IOCs exploitables ainsi que des pistes de mitigation.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1505.003 — Server Software Component: Web Shell (Persistence)
• T1059 — Command and Scripting Interpreter (Execution)
• T1083 — File and Directory Discovery (Discovery)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1070 — Indicator Removal (Defense Evasion)
• T1560 — Archive Collected Data (Collection)
• T1078 — Valid Accounts (Defense Evasion)
• T1021 — Remote Services (Lateral Movement)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)

IOC

• IPv4 : 79.141.169.187 — AbuseIPDB · VT · ThreatFox
• IPv4 : 45.129.0.192 — AbuseIPDB · VT · ThreatFox
• MD5 : 64c90a00c7fda4d5c7973ed64c25783a — VT · MalwareBazaar
• MD5 : 5241738a3e9988404239e12243f6d35b — VT · MalwareBazaar
• MD5 : ae0ea6502d3fa5f0664bceb73189eb54 — VT · MalwareBazaar
• MD5 : f90fa81a5f521d785f2b2f765e3ab897 — VT · MalwareBazaar
• MD5 : 61af1c4bce1c2eebc8ff689ca5337791 — VT · MalwareBazaar
• MD5 : 8eb64f25d2a8e18e05aae058629473cf — VT · MalwareBazaar
• MD5 : 49a7156a7d043cc8f9f680579db22f86 — VT · MalwareBazaar
• CVEs : CVE-2026-104286 — NVD · CIRCL
• Fichiers : liblog.so
• Fichiers : smit
• Fichiers : webconsole
• Fichiers : mailservice
• Fichiers : httpd.conf
• Fichiers : ld.so.preload
• Fichiers : migadmin.tar.gz
• Chemins : /data/lib/liblog.so
• Chemins : /bin/smit
• Chemins : /data/bin/webconsole
• Chemins : /data/bin/mailservice
• Chemins : /data/etc/httpd.conf
• Chemins : /data/etc/ld.so.preload
• Chemins : /data/migadmin.tar.gz

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 72/100 (haute)

• ⬜ rescana.com — source non référencée (0pts)
• ✅ 8966 chars — texte complet (fulltext extrait) (15pts)
• ✅ 24 IOCs dont des hashes (15pts)
• ✅ 2/2 IOCs confirmés (AbuseIPDB, ThreatFox, VirusTotal) (12pts)
• ✅ 10 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

• 79.141.169.187 (ip) → VT (4/91 détections)
• 45.129.0.192 (ip) → VT (4/91 détections)

🔗 Source originale : https://www.rescana.com/post/fortinet-fortimail-cve-2026-104286-actively-exploited-critical-path-traversal-and-null-byte-vulnerability-alert