Faille FortiMail CVE-2026-104286 : zero-day exploitée, versions à installer et contrôles

La réponse courte : la faille CVE-2026-104286 de FortiMail, la passerelle de sécurité de messagerie de Fortinet, permet à un attaquant distant et non authentifié d’écrire des fichiers arbitraires sur l’appareil au moyen de requêtes HTTP ou HTTPS forgées. Fortinet confirme une exploitation active, la CISA l’a inscrite à son catalogue des vulnérabilités exploitées le 1er octobre 2026, et le maCERT de la DGSSI l’a classée au niveau de risque critique. Mettez à jour vers FortiMail 8.0.2, 7.6.7 ou 7.4.9, cherchez les indicateurs de compromission, et profitez de la même fenêtre pour appliquer la version de durcissement de FortiOS publiée le 22 octobre.

Une passerelle FortiMail se trouve, par construction, exposée à internet : elle reçoit le courrier de l’entreprise et, souvent, propose un webmail ou le chiffrement des messages. C’est précisément cette surface qui est visée. Cette alerte rassemble ce que disent l’avis de Fortinet, la CISA, la NVD et le maCERT, et les contrôles à faire.

Ce qui est touché

L’avis FG-IR-26-175, publié par Fortinet le 1er octobre 2026 et mis à jour le 7 octobre, décrit une faille de type traversée de répertoire (CWE-22) combinée à une mauvaise neutralisation du caractère nul (CWE-158). Elle se situe dans l’interface web et permet l’écriture de fichiers sur le système sous-jacent, avec pour impact annoncé l’exécution de code ou de commandes non autorisés.

Produit	Versions touchées	Version corrigée
FortiMail 8.0	8.0.0 à 8.0.1	8.0.2 ou ultérieure
FortiMail 7.6	7.6.0 à 7.6.6	7.6.7 ou ultérieure
FortiMail 7.4	7.4.0 à 7.4.8	7.4.9 ou ultérieure
FortiMail 7.2	7.2.0 à 7.2.9	7.2.10 annoncée par l’avis ; Fortinet et le maCERT recommandent de passer en 7.4 ou ultérieure
FortiMail 7.0	toutes	migrer vers une version corrigée
FortiMail Cloud	corrigé par Fortinet le 5 octobre 2026	aucune action requise

Source : avis Fortinet FG-IR-26-175 et bulletin du maCERT 69090210/26.

Gravité et exploitation

• Gravité publiée : Fortinet attribue un score CVSS v3.1 de 9.8, niveau critique, repris par la NVD. Le maCERT classe la faille à un niveau de risque et d’impact critiques.
• Exploitation confirmée : l’avis de Fortinet indique que la faille « a été signalée comme exploitée dans la nature ». La CISA l’a ajoutée à son catalogue KEV le 1er octobre 2026 sous le nom « Fortinet FortiMail Path Traversal Vulnerability », avec une échéance de correction fixée au 4 octobre pour les agences fédérales américaines, et leur demande un tri forensique en plus de la mesure corrective.
• Conséquence pratique : l’exploitation a précédé la disponibilité de certains correctifs. Une mise à jour ne prouve donc pas que l’appareil n’a pas été compromis auparavant.

Les mesures d’attente, si la mise à jour doit attendre

Fortinet et le maCERT proposent trois mesures, à considérer comme temporaires :

1. Désactiver le service IBE (chiffrement basé sur l’identité) : dans l’interface, menu Encryption puis IBE, régler IBE Service sur désactivé, ou par la ligne de commande dans config system encryption ibe.
2. Fermer le webmail à internet ou le limiter à des réseaux privés de confiance, et restreindre l’interface d’administration de FortiMail aux seuls réseaux de confiance.
3. Filtrer en amont : si un pare-feu applicatif web protège FortiMail, bloquer les requêtes POST vers /ibe contenant ../.

Les vérifications à faire

• Identifier la version en service de chaque FortiMail, y compris les machines virtuelles et les appareils de secours, et vérifier lesquels sont joignables depuis internet.
• Rechercher les indicateurs de compromission publiés par Fortinet et repris par le maCERT : connexions avec les adresses 79.141.169.187 et 45.129.0.192, tâche planifiée exécutant /bin/sh -c sous /migadmin en tant que root, déconnexion administrateur pour une raison inconnue, compte d’archivage nommé « archive234 » pointant vers un serveur distant, erreurs BufferException dans le déchiffreur IBE.
• Contrôler les fichiers listés par le maCERT : ajout de /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice ou /data/etc/ld.so.preload, modification de /bin/smit, /data/etc/httpd.conf ou /data/migadmin.tar.gz. Le bulletin fournit les empreintes correspondantes.
• Relire la configuration : comptes administrateurs, comptes et destinations d’archivage, règles de relais. Toute modification non expliquée doit être traitée comme un incident.
• En cas de doute, isoler l’appareil, conserver les journaux et changer les secrets qu’il détenait (comptes d’administration, connecteurs LDAP ou annuaire) après remise en état.

Le même mois : la version de durcissement de FortiOS

Le 21 octobre 2026, Fortinet a annoncé une version de durcissement coordonnée pour FortiOS, FortiManager, FortiAnalyzer, FortiMail et FortiAuthenticator, qui corrige des failles critiques et de haute gravité identifiées par des tests assistés par intelligence artificielle. Les identifiants CVE et les avis détaillés seront publiés le 10 novembre 2026. Fortinet ne signale pas d’exploitation, mais avertit que l’analyse des correctifs peut permettre aux attaquants de produire rapidement des exploits. Le maCERT a relayé l’annonce le 21 octobre (bulletin 69822110/26, niveau critique).

Produit	Versions touchées	Version corrigée
FortiOS 8.0 / 7.6 / 7.4 / 7.2	8.0.0-8.0.1, 7.6.0-7.6.7, 7.4.0-7.4.12, 7.2.0-7.2.13	8.0.2, 7.6.8, 7.4.13, 7.2.14
FortiManager et FortiAnalyzer	8.0.0-8.0.1, 7.6.0-7.6.7, 7.4.0-7.4.11, 7.2.0-7.2.12	8.0.2, 7.6.8, 7.4.12, 7.2.13
FortiAuthenticator	8.0.0-8.0.3, 6.6.0-6.6.10	8.0.4, 6.6.11

Fortinet recommande de commencer par les équipements exposés à internet, de sauvegarder les configurations, et en attendant de restreindre l’administration HTTPS et SSH à des adresses de confiance, de ne jamais exposer FortiManager à internet et d’imposer le MFA aux administrateurs. Notre méthode pour mettre à jour FortiOS sans risque s’applique directement, de même que les 10 réglages de sécurité d’un FortiGate.

Notre lecture pour les entreprises au Maroc

Une passerelle de messagerie compromise donne accès au courrier entrant et sortant, et peut servir à détourner des messages ou à envoyer de l’hameçonnage depuis un domaine légitime. Après correction, vérifiez donc aussi SPF, DKIM et DMARC et surveillez les envois inhabituels. Un appareil exposé à internet doit être suivi en continu : c’est l’objet d’une supervision et d’un EDR managés 24/7. Pour les organismes concernés, la loi 05-20 et les exigences de la DGSSI imposent par ailleurs de traiter ces alertes. Notre page partenaire Fortinet présente notre accompagnement sur la gamme.

Comment nous pouvons vous aider

Nous inventorions vos équipements Fortinet, appliquons les versions corrigées de FortiMail et FortiOS dans une fenêtre de maintenance maîtrisée, recherchons les indicateurs de compromission et mettons en place la supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Retrouvez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : avis Fortinet FG-IR-26-175, annonce Fortinet de la version de durcissement, catalogue CISA KEV, alerte CISA du 1er octobre 2026, NVD CVE-2026-104286, bulletin maCERT « Zero-day dans FortiMail », bulletin maCERT sur les mises à jour Fortinet.