Kritická zranitelnost CVE-2026-104286 v systému Fortinet FortiMail je aktivně zneužívána

CVE v události 1

Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 9.8.

Jak se o tom psalo 11

1. 13. 10. 2026 · zachyceno 20:00 · Fortinet PSIRT US

   Zranitelnost SQL injection ve webmailu FortiMail

   Podle oznámení bezpečnostního týmu Fortinet může zranitelnost typu SQL injection v rozhraní FortiMail webmail umožnit přihlášenému útočníkovi provádět neoprávněný kód nebo příkazy pomocí upravených HTTP požadavků. Chyba dosahuje skóre CVSSv3 7.7.

   originál: SQL command injection in webmail

2. 3. 10. 2026 · zachyceno 04:00 · NCSC-FI FI

   Kritická zranitelnost v produktu Fortinet FortiMail je aktivně zneužívána

   Podle NCSC-FI obsahuje Fortinet FortiMail kritickou zranitelnost CVE-2026-104286 s CVSS 9.8, která neautentizovanému útočníkovi umožňuje zápis libovolných souborů pomocí upravených HTTP či HTTPS požadavků. Bezpečnostní autorita varuje, že chyba je již aktivně zneužívána v praxi, a zákazníkům doporučuje aplikovat oficiální opravu nebo dočasná zmírňující opatření.

   originál: Fortinet FortiMail Improper limitation of a pathname to a restricted directory

3. 2. 10. 2026 13:37 · Cyber Centre Kanada CA

   Bezpečnostní varování pro Fortinet FortiMail

   Kanadské kybernetické centrum upozorňuje na zranitelnosti v produktech Fortinet FortiMail verzí 7.2, 7.4, 7.6 a 8.0. Podle výrobce je zranitelnost CVE-2026-104286 aktivně zneužívána v praxi a americká agentura CISA ji zařadila do svého katalogu zneužívaných chyb.

   originál: Fortinet security advisory (AV26-989)

4. 2. 10. 2026 13:30 · CERT-SE SE

   Kritická zranitelnost ve Fortinet FortiMail

   Společnost Fortinet zveřejnila informace o kritické zranitelnosti CVE-2026-104286 s hodnocením CVSS 9.8, která postihuje rozhraní pro správu FortiMail. Podle zdroje může neautentizovaný útočník úspěšným zneužitím zapisovat libovolné soubory do podkladového systému prostřednictvím požadavků HTTP nebo HTTPS.

   originál: Kritisk sårbarhet i FortiMail

5. 2. 10. 2026 13:28 · DNSC Rumunsko RO

   Kritická zranitelnost v řešení Fortinet FortiMail

   Rumunský úřad DNSC varuje před kritickou zranitelností zabezpečení v produktu Fortinet FortiMail.

   originál: ALERTĂ: Vulnerabilitate critică la nivelul Fortinet FortiMail

6. 2. 10. 2026 09:21 · NCSC-NL NL

   Kritická zranitelnost ve Fortinet FortiMail je aktivně zneužívána

   Společnost Fortinet opravila kritickou chybu CVE-2026-104286 ve FortiMail, která neověřenému útočníkovi umožňuje zapisovat libovolné soubory na systém. Zranitelnost je podle zdroje aktivně zneužívána a týká se verzí 7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6 a 8.0.0–8.0.1 se zapnutou funkcí IBE.

   originál: NCSC-2026-0398 [1.00] [M/H] Kwetsbaarheid verholpen in Fortinet FortiMail

7. 2. 10. 2026 08:36 · CSIRT Itálie (ACN) IT

   Fortinet: Zjištěno aktivní zneužívání chyby CVE-2026-104286 ve FortiMail

   Italský CSIRT informuje o zaznamenaném zneužívání kritické zranitelnosti CVE-2026-104286 v síťovém prostředí. Chyba se týká e-mailového bezpečnostního řešení FortiMail od společnosti Fortinet.

   originál: Fortinet: rilevato sfruttamento in rete della CVE-2026-104286 relativa a FortiMail

8. 2. 10. 2026 · zachyceno 17:00 · CERT-FR – avis FR

   Aktivně zneužívaná zranitelnost v produktu Fortinet FortiMail

   V produktu Fortinet FortiMail byla odhalena zranitelnost CVE-2026-104286, která útočníkovi umožňuje vzdálené spuštění libovolného kódu. Společnost Fortinet uvádí, že je tato chyba aktivně zneužívána v praxi, a v bezpečnostním oznámení poskytla indikátory kompromitace.

   originál: Vulnérabilité dans Fortinet FortiMail (02 octobre 2026)

9. 2. 10. 2026 00:42 · BleepingComputer US

   Fortinet varuje před kritickou chybou ve FortiMail zneužívanou v útocích

   Společnost Fortinet varuje zákazníky před kritickou zranitelností FortiMail s označením CVE-2026-104286. Podle výrobce je tato chyba aktivně zneužívána v zero-day útocích ke spouštění neoprávněného kódu či příkazů na zranitelných zařízeních.

   originál: Fortinet warns of critical FortiMail flaw exploited in zero-day attacks

10. 1. 10. 2026 · zachyceno 22:00 · Fortinet PSIRT US

    Kritická zranitelnost path traversal je aktivně zneužívána

    Podle bezpečnostního týmu Fortinet PSIRT umožňuje zranitelnost typu path traversal a nesprávné ošetření nulového bajtu neautentizovanému útočníkovi zapisovat libovolné soubory pomocí upravených HTTP či HTTPS požadavků. Chyba dosahuje skóre CVSSv3 9.8 a podle vydavatele je již aktivně zneužívána v praxi.

    originál: Improper limitation of a pathname to a restricted directory

11. 1. 10. 2026 · zachyceno 22:00 · CISA KEV US

    CISA zařadila na seznam aktivně zneužívaných chybu v systému Fortinet FortiMail

    Agentura CISA zařadila zranitelnost typu path traversal s označením CVE-2026-104286 v produktu Fortinet FortiMail do katalogu aktivně zneužívaných zranitelností. Termín pro nápravu byl stanoven na 4. října 2026.

    originál: Fortinet FortiMail Path Traversal Vulnerability (CVE-2026-104286)