Le 1er octobre 2026, la CISA a ajouté CVE-2026-104286 à son catalogue KEV. Elle touche Fortinet FortiMail, la passerelle de sécurité email de Fortinet. Exploitée, sans authentification, avec une échéance très courte : 4 octobre.
| Champ | Valeur |
|---|---|
| CVSS | non publié par NVD à la date de rédaction |
| Vecteur | non publié |
| Publication NVD | pas encore publiée |
| CISA KEV | ajoutée le 2026-10-01, échéance 2026-10-04 |
NVD n'a pas encore publié de score ni de versions à la date de rédaction. Tout ce qui suit s'appuie sur la fiche KEV ; l'avis PSIRT Fortinet fait foi pour les versions touchées et corrigées.
Ce que fait la faille
La CISA la décrit comme la combinaison de deux défauts :
a path traversal and an improper neutralization of NULL byte or NULL character vulnerability
Concrètement : des requêtes HTTP ou HTTPS forgées permettent à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système sous-jacent. La traversée de chemin permet de sortir du répertoire prévu ; la mauvaise gestion de l'octet NULL permet de faire échouer les contrôles sur le nom de fichier.
Je ne détaille pas plus. Ce qui compte pour la défense : écrire un fichier arbitraire sur une appliance, c'est presque toujours un pas avant l'exécution de code — remplacer un script, déposer une configuration, planter une porte dérobée persistante.
Pourquoi c'est grave
Une passerelle email est un point de passage obligé :
- elle voit tout le courrier entrant et sortant, pièces jointes comprises
- elle détient souvent des intégrations avec l'annuaire (LDAP, Active Directory) et leurs identifiants
- son interface web est fréquemment exposée sur Internet, pour le webmail ou la quarantaine utilisateur
Ce n'est pas la première fois qu'une appliance Fortinet passe au KEV cette année : en juillet, trois CVE FortiSandbox et FortiOS y étaient entrées (voir notre article sur les ajouts Fortinet de juillet). Les appliances de sécurité en bordure de réseau restent une cible prioritaire.
Versions
NVD n'a publié ni versions affectées ni version corrigée à la date de rédaction. Je n'en invente pas. Consulte l'avis PSIRT Fortinet pour CVE-2026-104286 et compare avec la version installée sur chaque appliance FortiMail (physique, VM ou cloud).
Détection
- Fichiers modifiés ou créés sur l'appliance hors des fenêtres de mise à jour — si Fortinet publie des indicateurs de compromission ou un outil de vérification d'intégrité, l'utiliser
- Journaux d'accès HTTP/HTTPS : requêtes anonymes inhabituelles vers l'interface web, en particulier en rafale, depuis des adresses inconnues
- Comptes administrateurs ajoutés ou modifiés, règles de routage ou de relais de courrier changées
- Trafic sortant de l'appliance vers des destinations qui ne sont ni des MTA ni des services Fortinet
Mitigation
- Appliquer la version corrigée Fortinet dès sa disponibilité pour ta branche. L'échéance CISA au 4 octobre dit tout : c'est une urgence.
- Restreindre l'interface d'administration aux réseaux d'administration. Si le webmail ou la quarantaine doivent rester exposés, limiter l'exposition au strict nécessaire.
- Appliquer les contournements décrits dans l'avis Fortinet si la mise à jour ne peut pas être faite immédiatement.
- Vérifier l'intégrité de l'appliance après mise à jour : un correctif n'efface pas un fichier déjà déposé.
- En cas de compromission : faire tourner les identifiants d'administration et ceux des intégrations annuaire, et considérer le courrier transité comme potentiellement exposé.
Pourquoi surveiller vos passerelles email en continu
Quand une faille est au KEV avant même que NVD n'ait publié de score, les outils qui attendent un CVSS pour alerter restent muets. Il faut une source qui suit aussi le catalogue de la CISA, et un inventaire qui sait où tourne FortiMail.
Avec cveo.tech, inventorie tes appliances de sécurité et reçois une alerte dès qu'une CVE entre au CISA KEV pour l'une d'elles.