Критическая уязвимость FortiMail CVE-2026-104286 уже эксплуатируется

Fortinet закрывает критическую path-traversal уязвимость CVE-2026-104286 в FortiMail с оценкой CVSS 9.8: неаутентифицированный атакующий может записывать произвольные файлы через HTTP/HTTPS. CISA добавила её в каталог KEV 1 октября 2026 года с дедлайном для федеральных агентств 4 октября. Затронуты ветки 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 и 7.2.0–7.2.9.

• CVSS 9.8: path traversal без аутентификации и взаимодействия с пользователем
• CISA KEV с 1 октября 2026, дедлайн для федеральных агентств — 4 октября
• Исправления: 8.0.2, 7.6.7 и 7.4.9; ветку 7.2 нужно покинуть
• Временная мера — отключить IBE или закрыть интерфейс управления от интернета