Критическая уязвимость FortiMail CVE-2026-104286 эксплуатируется в дикой природе

В FortiMail нашли path traversal CVE-2026-104286 с оценкой CVSS 9.8: неаутентифицированный атакующий может записывать файлы через веб-интерфейс IBE. CISA внесла уязвимость в каталог KEV 1 октября 2026 года, исправления ожидаются в версиях 8.0.2, 7.6.7 и 7.4.9.

• CVSS 9.8: path traversal CWE-22 вместе с обработкой NULL-байта CWE-158
• Уязвимы FortiMail 7.0.0–7.0.9, 7.2.0–7.2.9, 7.4.0–7.4.6, 7.6.0–7.6.5 и 8.0.0
• ZoomEye нашёл 3911 устройств FortiMail по отпечатку продукта
• Для ветки 7.0 патча нет — рекомендован переход на 7.4 или новее