Kritická zranitelnost CVE-2026-104286 ve Fortinet FortiMail je aktivně zneužívána

CVE v události 1

Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 9.8.

Jak se o tom psalo 5

1. 2. 10. 2026 09:21 · NCSC-NL NL

   Kritická zranitelnost ve Fortinet FortiMail je aktivně zneužívána

   Společnost Fortinet opravila kritickou chybu CVE-2026-104286 ve FortiMail, která neověřenému útočníkovi umožňuje zapisovat libovolné soubory na systém. Zranitelnost je podle zdroje aktivně zneužívána a týká se verzí 7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6 a 8.0.0–8.0.1 se zapnutou funkcí IBE.

   originál: NCSC-2026-0398 [1.00] [M/H] Kwetsbaarheid verholpen in Fortinet FortiMail

2. 2. 10. 2026 08:36 · CSIRT Itálie (ACN) IT

   Fortinet: Zjištěno aktivní zneužívání chyby CVE-2026-104286 ve FortiMail

   Italský CSIRT informuje o zaznamenaném zneužívání kritické zranitelnosti CVE-2026-104286 v síťovém prostředí. Chyba se týká e-mailového bezpečnostního řešení FortiMail od společnosti Fortinet.

   originál: Fortinet: rilevato sfruttamento in rete della CVE-2026-104286 relativa a FortiMail

3. 2. 10. 2026 00:42 · BleepingComputer US

   Fortinet varuje před kritickou chybou ve FortiMail zneužívanou v útocích

   Společnost Fortinet varuje zákazníky před kritickou zranitelností FortiMail s označením CVE-2026-104286. Podle výrobce je tato chyba aktivně zneužívána v zero-day útocích ke spouštění neoprávněného kódu či příkazů na zranitelných zařízeních.

   originál: Fortinet warns of critical FortiMail flaw exploited in zero-day attacks

4. 1. 10. 2026 · zachyceno 22:00 · Fortinet PSIRT US

   Kritická zranitelnost path traversal je aktivně zneužívána

   Podle bezpečnostního týmu Fortinet PSIRT umožňuje zranitelnost typu path traversal a nesprávné ošetření nulového bajtu neautentizovanému útočníkovi zapisovat libovolné soubory pomocí upravených HTTP či HTTPS požadavků. Chyba dosahuje skóre CVSSv3 9.8 a podle vydavatele je již aktivně zneužívána v praxi.

   originál: Improper limitation of a pathname to a restricted directory

5. 1. 10. 2026 · zachyceno 22:00 · CISA KEV US

   CISA zařadila na seznam aktivně zneužívaných chybu v systému Fortinet FortiMail

   Agentura CISA zařadila zranitelnost typu path traversal s označením CVE-2026-104286 v produktu Fortinet FortiMail do katalogu aktivně zneužívaných zranitelností. Termín pro nápravu byl stanoven na 4. října 2026.

   originál: Fortinet FortiMail Path Traversal Vulnerability (CVE-2026-104286)