بهره‌برداری فعال از آسیب‌پذیری بحرانی FortiMail در حملات روز-صفر
شرکت فورتی‌نت درباره یک آسیب‌پذیری بحرانی در محصول FortiMail هشدار داده است. مهاجمان اکنون از این نقص در حملات واقعی و به‌صورت Zero-Day استفاده می‌کنند. این آسیب‌پذیری با شناسه CVE-2026-104286 شناخته می‌شود. امتیاز آن در سامانه CVSS به 9.8 از 10 می‌رسد.
این نقص امنیتی رابط مدیریتی FortiMail را هدف قرار می‌دهد. مهاجم می‌تواند بدون احراز هویت از این نقص استفاده کند. در نتیجه، امکان اجرای کد یا دستورات غیرمجاز روی دستگاه قربانی فراهم می‌شود.
آسیب‌پذیری CVE-2026-104286 چیست؟
فورتی‌نت منشأ این مشکل را به دو ضعف امنیتی مرتبط می‌داند. نخستین ضعف، Path Traversal با شناسه CWE-22 است. ضعف دوم نیز به Improper Neutralization of NULL Byte or NULL Character با شناسه CWE-158 مربوط می‌شود.
مهاجم می‌تواند با ارسال درخواست‌های دست‌کاری‌شده HTTP یا HTTPS از این نقص سوءاستفاده کند. این درخواست‌ها امکان نوشتن فایل‌های دلخواه روی سیستم زیربنایی FortiMail را فراهم می‌کنند.
نسخه‌های آسیب‌پذیر FortiMail
آسیب‌پذیری CVE-2026-104286 چندین شاخه از FortiMail را تحت تأثیر قرار می‌دهد. فورتی‌نت نسخه‌های زیر را آسیب‌پذیر اعلام کرده است:
-
FortiMail 8.0.0 تا 8.0.1
-
FortiMail 7.6.0 تا 7.6.6
-
FortiMail 7.4.0 تا 7.4.8
-
FortiMail 7.2.0 تا 7.2.9
کاربران FortiMail 7.2 می‌توانند با ارتقا به شاخه 7.4 یا نسخه‌های جدیدتر، این مشکل را برطرف کنند. فورتی‌نت برای شاخه‌های جدیدتر نیز نسخه‌های اصلاحی را معرفی کرده است. این نسخه‌ها شامل FortiMail 7.4.9، FortiMail 7.6.7 و FortiMail 8.0.2 هستند.
راهکار موقت Fortinet برای کاهش خطر
فورتی‌نت از مشتریان خود خواسته است تا پیش از نصب نسخه اصلاحی، اقدامات کاهشی را اجرا کنند. یکی از این اقدامات، غیرفعال کردن قابلیت IBE در FortiMail است.
برای غیرفعال کردن این قابلیت، مدیران می‌توانند دستورات زیر را اجرا کنند:
config system encryption ibe
set status disable
end
مدیران شبکه همچنین می‌توانند دسترسی اینترنتی به رابط مدیریتی FortiMail را مسدود کنند. محدود کردن این دسترسی به شبکه‌های خصوصی و مورد اعتماد نیز می‌تواند خطر حمله را کاهش دهد.
نشانه‌های نفوذ به FortiMail
فورتی‌نت برای شناسایی دستگاه‌های احتمالا آلوده، چندین شاخص نفوذ (IOC) نیز منتشر کرده است. این شاخص‌ها شامل فایل‌هایی هستند که مهاجمان در برخی دستگاه‌های آلوده ایجاد یا تغییر داده‌اند.
فهرست مهم‌ترین فایل‌های شناسایی‌شده به شرح زیر است:
-
/data/lib/liblog.so -
/bin/smit -
/data/bin/webconsole -
/data/bin/mailservice -
/data/etc/httpd.conf -
/data/etc/ld.so.preload -
/data/migadmin.tar.gz
Fortinet همچنین دو نشانی IP را با این حملات مرتبط دانسته است:
-
79.141.169.187
-
45.129.0.192
بررسی لاگ‌های FortiMail نیز می‌تواند به شناسایی حمله کمک کند. برای نمونه، یکی از رویدادهای ثبت‌شده ایجاد حسابی با نام archive234 را نشان می‌دهد. مهاجم این حساب را از طریق خط فرمان ایجاد کرده و دستگاه را برای ارسال داده‌های آرشیوشده به سرور 79.141.169.187 تنظیم کرده است.
برخی لاگ‌های دیگر نیز اجرای Cron Job مرتبط با migadmin/ را نشان می‌دهند. خروج حساب مدیریتی، خطای رمزگشایی IBE و تلاش‌های ناموفق برای ورود به حساب‌های کاربری نیز از دیگر رویدادهای مشکوک هستند.
آسیب‌پذیری‌های متعدد Fortinet؛ هشداری برای مدیران شبکه
کشف این نقص جدید بار دیگر توجه‌ها را به تعداد بالای آسیب‌پذیری‌های امنیتی در محصولات Fortinet جلب می‌کند. محصولات مختلف این شرکت طی سال‌های اخیر بارها با آسیب‌پذیری‌های امنیتی مواجه شده‌اند.
در میان محصولات آسیب‌پذیر فورتی‌نت می‌توان به FortiOS، FortiGate، FortiManager، FortiProxy و FortiMail اشاره کرد. برخی از این آسیب‌پذیری‌ها نیز شدت بالایی داشته‌اند و مهاجمان از تعدادی از آن‌ها در حملات واقعی استفاده کرده‌اند.
شرایط درباره CVE-2026-104286 حساس‌تر است. این نقص امتیاز CVSS برابر با 9.8 دارد. مهاجم برای سوءاستفاده از آن به احراز هویت نیاز ندارد. مهم‌تر از همه، مهاجمان هم‌اکنون از این آسیب‌پذیری در حملات Zero-Day استفاده می‌کنند.
فورتی‌نت هنوز زمان آغاز این حملات، تعداد دستگاه‌های آسیب‌دیده و هویت مهاجمان را اعلام نکرده است. با این حال، مدیران سازمان‌ها باید نصب نسخه‌های اصلاحی را در اولویت قرار دهند. بررسی لاگ‌ها و IOCهای منتشرشده نیز می‌تواند به شناسایی نفوذهای احتمالی کمک کند.
سازمان‌هایی که FortiMail را در شبکه خود استفاده می‌کنند، باید دسترسی به رابط مدیریتی این محصول را نیز بررسی کنند. محدود کردن این رابط به شبکه‌های مورد اعتماد، در کنار نصب به‌روزرسانی‌های امنیتی، می‌تواند سطح حمله را کاهش دهد.
آسیب‌پذیری CVE-2026-104286 نشان می‌دهد که مدیران FortiMail نباید هشدارهای امنیتی مربوط به محصولات فورتی‌نت را به تأخیر بیندازند؛ به‌خصوص زمانی که یک نقص با شدت بحرانی در حملات فعال مورد بهره‌برداری قرار می‌گیرد.