Fortinet on varoittanut hyökkääjien hyödyntävän aktiivisesti FortiMail-sähköpostiturvalaitteissa olevaa kriittistä, ilman todennusta hyödynnettävää nollapäivähaavoittuvuutta, jonka avulla he voivat kirjoittaa mielivaltaisia tiedostoja ja mahdollisesti ottaa haavoittuvia järjestelmiä hallintaansa.
Tunnuksella CVE-2026-104286 seurattava haavoittuvuus liittyy polun läpikäyntiin (path traversal) ja null-merkkien virheelliseen käsittelyyn FortiMailin verkkokäyttöliittymässä. Hyökkääjät voivat hyödyntää sitä etänä erikseen muotoiltujen HTTP- tai HTTPS-pyyntöjen avulla ilman käyttäjätiliä tai salasanaa. Fortinetin mukaan haavoittuvuutta hyödynnetään aktiivisesti luonnossa, mutta se ei ole nimennyt hyökkääjiä eikä kertonut, kuinka moneen asiakkaaseen hyökkäys on mahdollisesti vaikuttanut.
Haavoittuvia versioita ovat FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 ja 7.2.0–7.2.9. Fortinet ilmoitti korjattujen versioiden 8.0.2, 7.6.7 ja 7.4.9 olevan tulossa, ja kehotti 7.2-haaran asiakkaita siirtymään versioon 7.4 tai uudempaan. Ennen tietoturvapäivitysten julkaisua yhtiö suosittelee ottamaan Identity-Based Encryption -toiminnon pois käytöstä tai estämään pääsyn FortiMailin hallintaliittymään internetistä ja rajaamaan sen vain luotettuihin yksityisverkkoihin.
Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto CISA lisäsi haavoittuvuuden tunnettujen hyödynnettyjen haavoittuvuuksien luetteloonsa 1. lokakuuta aktiivisista hyökkäyksistä saatujen todisteiden perusteella. Ylläpitäjien tulisi myös tarkistaa Fortinetin julkaisemat murtoindikaattorit ja tutkia järjestelmät ennen päivitysten tai tilapäisratkaisujen käyttöönottoa.