Kritieke FortiMail-kwetsbaarheid actief misbruikt; updates onderweg, mitigaties beschikbaar

Fortinet waarschuwt voor een kritieke fout in FortiMail (CVE-2026-104286) met een CVSS-score van 9,8. Door een combinatie van path traversal (CWE-22) en onvoldoende neutralisatie van NULL-bytes (CWE-158) kan een niet‑geauthenticeerde aanvaller via speciaal geprepareerde HTTP/HTTPS‑verzoeken willekeurige bestanden op het onderliggende systeem schrijven. De kwetsbaarheid wordt op dit moment actief uitgebuit en is door CISA aan de Known Exploited Vulnerabilities-catalogus toegevoegd. (bleepingcomputer.com)

Getroffen zijn FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 en 7.2.0–7.2.9. Fortinet meldt dat fixes voor 7.4, 7.6 en 8.0 “op komst” zijn (gepland als 7.4.9, 7.6.7 en 8.0.2). Voor 7.2‑installaties is migratie naar ten minste 7.4 de aangewezen route. (bleepingcomputer.com)

Wat betekent dit in de praktijk?

• De aanval richt zich op de beheerinterface. Fortinet adviseert als tijdelijke maatregel de IBE‑functionaliteit uit te schakelen of de beheerinterface niet vanaf het internet bereikbaar te maken en toegang te beperken tot vertrouwde netwerken. IBE (Identity Based Encryption) is een FortiMail‑functie om berichten versleuteld te versturen naar externe ontvangers zonder dat zij vooraf certificaten hoeven te beheren. (bleepingcomputer.com)
• Omdat de fout actief wordt misbruikt, is er reëel risico op bestandsmanipulatie en het plaatsen van persistente malware op het apparaat. Nationale CERTs, zoals het Finse Traficom en HKCERT, herhalen deze waarschuwing en verwijzen naar Fortinets advies. (kyberturvallisuuskeskus.fi)

Indicators of Compromise
Fortinet publiceerde IoC’s om mogelijk misbruik te herkennen. Denk aan ongebruikelijke wijzigingen of toevoegingen van systeembestanden (bijvoorbeeld binaire bestanden of preload‑configuraties), nieuwe of gemodificeerde services, en verdachte cron‑taken of beheerhandelingen kort vóór uitgaand dataverkeer. Ook zijn specifieke IP‑adressen en hashes gedeeld als referentie voor detectie en forensisch onderzoek. Controleer logs rond beheeracties, IBE‑fouten en archiveringsinstellingen. (bleepingcomputer.com)

Aanpak voor organisaties

• Breng alle FortiMail‑installs in kaart en bepaal of zij in de genoemde reeksen vallen. (bleepingcomputer.com)
• Pas direct de mitigerende maatregelen toe: schakel IBE uit óf scherm de beheerinterface af voor het internet en beperk toegang tot vertrouwde netwerken/VPN. (bleepingcomputer.com)
• Installeer zodra beschikbaar de door Fortinet aangekondigde updates (7.4.9/7.6.7/8.0.2); migreer 7.2 naar minimaal 7.4. (bleepingcomputer.com)
• Voer een forensische controle uit met de door Fortinet gedeelde IoC’s; bewaar relevante logs en systeemartefacten voordat je opruimt of herstelt. (bleepingcomputer.com)
• Monitor advisories van CISA en Europese/Nederlandse instanties en stel drempelwaarden in je SIEM/EDR bij om de specifieke IoC’s en logpatronen te detecteren. (hkcert.org)

Context
FortiMail en andere Fortinet‑producten stonden de afgelopen jaren vaker in de belangstelling door kritieke kwetsbaarheden die soms ook actief werden misbruikt. Dit onderstreept het belang van strak patch‑ en exposure‑management rond (internet‑toegankelijke) beheerinterfaces en het consequent afschermen van die vlakken totdat fixes gereedstaan. (cert.europa.eu)

Kortom: controleer vandaag nog of jouw FortiMail‑omgeving binnen de getroffen versies valt, pas de tijdelijke maatregelen toe, plan de update naar de door Fortinet aangegeven releases en draai een gericht compromis‑onderzoek met de beschikbare IoC’s. Daarmee verklein je de kans op misbruik én beperk je de impact als er al iets is gebeurd. (bleepingcomputer.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.