Fortinet, FortiMail için kritik bir zafiyeti duyurdu: Saldırılar başladı

Fortinet, FortiMail yönetim arayüzünü etkileyen CVE-2026-104286 kodlu kritik bir zafiyetin aktif olarak istismar edildiğini duyurdu. Bu zafiyet, yetkisiz kod veya komutların hassas cihazlarda çalıştırılmasına olanak tanıyor.

Zafiyet, 9.8 CVSS puanıyla kritik olarak değerlendirilirken, Fortinet kullanıcıları, güvenlik güncellemeleri yayınlanmadan önce geçici çözümleri uygulamaları konusunda uyarıyor. Fortinet, bu zafiyetin, kötü niyetli HTTP veya HTTPS talepleri ile sistemde rastgele dosyalar yazılmasına olanak tanıyabileceğini belirtti.

Fortinet'in Ürün Güvenliği ekibinden Gwendal Guégniaud, bu zafiyeti iç kaynaklardan keşfetti. FortiMail sürümleri 8.0.0 ile 8.0.1, 7.6.0 ile 7.6.6, 7.4.0 ile 7.4.8 ve 7.2.0 ile 7.2.9 arasındaki sürümler bu zafiyetin etkisi altında bulunuyor.

Fortinet, zafiyetin aktif olarak istismar edildiğini belirterek, kullanıcıların hassas sistemlerini korumak için bazı geçici çözümler uygulamalarını önerdi. Örneğin, FortiMail 7.2 kullanıcıları, 7.4 sürümüne veya daha yeni bir sürüme geçerek bu zafiyeti kapatabilirler. Ancak, etkilenen FortiMail 7.4, 7.6 ve 8.0 kurulumları için henüz güvenlik güncellemeleri mevcut değil.

Fortinet, zafiyeti gidermek için yöneticilere, IBE özellik desteğini devre dışı bırakmalarını tavsiye ediyor. Ayrıca, yöneticilerin FortiMail yönetim arayüzüne İnternet üzerinden erişimi engellemeleri veya yalnızca güvenilir özel ağlardan erişimi kısıtlamaları gerektiğini vurguladı. Şirket, saldırılarla ilişkilendirilen bazı IP adreslerini de açıkladı.

Fortinet, saldırılarla ilişkili bazı dosyaların eklendiği veya değiştirildiği sistemler için tehlike göstergeleri (IOC'lar) yayımladı. Yöneticilerin, potansiyel olarak tehlikeye atılmış cihazları belirlemek için kullanabileceği bazı günlük kayıtları da paylaşıldı. Bu kayıtlar arasında, uzaktan sunucu olarak 79.141.169.187 adresinin kullanıldığı bir komut satırıyla yapılandırılan bir arşiv hesabı yer alıyor.

Fortinet, bu zafiyetin ne zaman ilk kez istismar edildiği, kaç sistemin etkilendiği veya saldırıların arkasındaki kişi veya gruplar hakkında bilgi vermedi. CISA, zafiyetin bilinen istismar edilen zafiyetler kataloğuna eklendiğini ve federal ajansların 4 Ekim'e kadar zafiyeti gidermeleri gerektiğini açıkladı.