1. De U.S. Cybersecurity and Infrastructure Security Agency (CISA) heeft op 1 oktober 2026 een kritieke kwetsbaarheid, geïdentificeerd als CVE-2026-104286, toegevoegd aan de catalogus van bekend geëxploiteerde kwetsbaarheden (Known Exploited Vulnerabilities - KEV). Deze toevoeging volgde op bewijs dat de kwetsbaarheid actief werd benut.
2. De kwetsbaarheid, CVE-2026-104286, is een path traversal-probleem in Fortinet FortiMail, veroorzaakt door onjuiste NULL-byte-neutralisatie. Dit stelt een niet-geauthenticeerde externe aanvaller in staat, door speciaal vervaardigde HTTP- of HTTPS-verzoeken te sturen, om willekeurige bestanden naar het onderliggende systeem te schrijven. Zwakke punten in de afhandeling van NULL-bytes kunnen omzeiling van invoervalidatiecontroles mogelijk maken. De kwetsbaarheid is geassocieerd met CWE-22 en CWE-158.
3. Fortinet FortiMail is een product voor e-mailbeveiliging dat aan de netwerkrand wordt ingezet om kwaadaardige e-mails te filteren en bedrijfse-messagesystemen te beschermen.
4. Exploitatie van e-mailbeveiligingsapparaten die via internet toegankelijk zijn, kan leiden tot initiële toegang met grote gevolgen. Toegang om willekeurig bestanden te schrijven kan dreigingsactoren potentieel in staat stellen kwaadaardige bestanden te plaatsen, configuraties te wijzigen, persistentie te creëren of systemen voor te bereiden op verdere compromittering.
5. Voor getroffen federale civiele uitvoerende overheidsinstanties geldt een deadline van 4 oktober 2026 voor herstelmaatregelen.
6. CISA vereist dat organisaties de door de leverancier aanbevolen mitigerende maatregelen toepassen, conform Binding Operational Directive 26-04, die beveiligingsupdates prioriteert op basis van risico. De KEV-vermelding voor CVE-2026-104286 linkt de kwetsbaarheid niet direct aan ransomware.
7. Organisaties die FortiMail gebruiken, moeten alle blootgestelde apparaten identificeren, verifiëren of ze getroffen zijn, de door Fortinet voorgeschreven mitigerende maatregelen of beveiligingsupdate toepassen, en logboeken controleren op verdachte HTTP- of HTTPS-verzoeken. Beveiligingsteams moeten ook controleren op onverwachte bestanden, wijzigingen in systeemconfiguraties, ongeautoriseerde accounts en ongebruikelijke uitgaande netwerkactiviteit.
8. CISA heeft de kwestie ook gemarkeerd als vereisend forensisch onderzoek onder BOD 26-04.
9. Organisaties moeten prioriteit geven aan FortiMail-implementaties die extern toegankelijk zijn, omdat internetblootstelling de kans op opportunistisch scannen en exploitatie vergroot.
10. Waar een effectieve mitigerende maatregel niet beschikbaar is, adviseert CISA belanghebbenden de toepasselijke richtlijnen voor clouddiensten te volgen of het gebruik van het getroffen product te staken.