Fortinet je upozorio da je kritična ranjivost u njihovoj platformi za sigurnost e-pošte FortiMail iskorištena u stvarnim napadima prije nego što su mnoge organizacije imale priliku pripremiti se. FortiMail zero-day CVE-2026-104286 ozbiljan je problem za administratore, ali je važan i za svakoga čija e-pošta prolazi kroz korporativni mail gateway. To uključuje zaposlenike, kupce, pacijente i poslovne partnere.

Ovaj članak pokriva što je do sada poznato, što bi administratori trebali učiniti i kako obični ljudi mogu reagirati ako je organizacija s kojom posluju pogođena.

Što Fortinet kaže o FortiMail zero-day ranjivosti

Fortinet kaže da je CVE-2026-104286 pod aktivnim napadom. Sigurnosni portali koji prate savjet opisuju ga kao kritičnu ranjivost s CVSS ocjenom 9,8 od mogućih 10. Izvješća ga opisuju kao slabost path traversal koja neautentificiranom napadaču omogućuje pisanje proizvoljnih datoteka na temeljni sustav.

Ti detalji objašnjavaju ocjenu ozbiljnosti:

  • Nije potrebna prijava. Napadaču nisu potrebni valjani vjerodajnice, pa je izloženost nepouzdanim mrežama glavni preduvjet.
  • Proizvoljno pisanje datoteka. Mogućnost postavljanja datoteka na uređaj može biti odskočna daska za izvršavanje koda, postavljanje trajnosti ili mijenjanje ponašanja uređaja. Izvješća opisuju ranjivost kao omogućavanje pisanja datoteka. Točna aktivnost nakon iskorištavanja viđena u napadima nije detaljno opisana u materijalima koje smo pregledali.
  • Zero-day status. Napadači su koristili ranjivost prije nego što je popravak bio široko dostupan, što braniteljima ostavlja malo vremena.

Jedno sigurnosno upozorenje koje kruži internetom također spominje uvrštavanje ranjivosti u CISA-in katalog poznatih iskorištenih ranjivosti. Administratori bi trebali potvrditi trenutni unos izravno kod CISA-e i Fortineta umjesto da se oslanjaju na posredne sažetke.

Koje su verzije pogođene i kako ublažiti rizik

Izvješća pokazuju da je pogođeno više verzija FortiMaila. Članci koje smo pregledali ne daju pouzdan, potpun popis verzija i nećemo nagađati o njemu. Mjerodavan izvor je Fortinetov vlastiti sigurnosni savjet za CVE-2026-104286, koji navodi pogođene grane i ispravljena izdanja.

Za administratore, razuman redoslijed radnji izgleda ovako:

  1. Identificirajte svaku FortiMail instancu. Uključite fizičke uređaje, virtualne strojeve i sve testne ili sekundarne jedinice koje je lako zaboraviti.
  2. Provjerite verzije u odnosu na Fortinetov savjet. Potvrdite nalazi li se svaka jedinica u pogođenom rasponu.
  3. Odmah primijenite Fortinetove zakrpe ili navedena ublažavanja. Ako se zakrpa ne može instalirati odmah, upotrijebite privremeno rješenje koje Fortinet pruža i ograničite izloženost sučelja za upravljanje i obradu pošte na pouzdane mreže.
  4. Tražite znakove kompromitacije. Budući da je iskorištavanje počelo prije objave, samo zakrpavanje možda neće biti dovoljno. Pregledajte zapise za neočekivano stvaranje datoteka, nepoznate administrativne promjene i neobične odlazne veze s uređaja.
  5. Rotirajte vjerodajnice i tajne pohranjene na uređaju ili dostupne s njega ako sumnjate da je bio diran.

Ovaj je obrazac poznat. Rubni i upravljački sustavi privlačne su mete, kao što se vidjelo u nedavnom iskorištavanju FortiClient EMS-a povezanom s CVE-2026-35616, gdje je kritična Fortinetova ranjivost iskorištena protiv poduzeća.

Zašto kompromitirani mail gateway ugrožava osobne podatke

Sigurnosni gateway za poštu nalazi se na putu korporativne e-pošte. Ovisno o konfiguraciji, može pregledavati, filtrirati, stavljati u karantenu, arhivirati ili prosljeđivati poruke u oba smjera. Upravo taj položaj čini kompromitaciju zabrinjavajućom daleko izvan IT tima koji upravlja uređajem.

Poruke koje prolaze kroz korporativnu mail infrastrukturu mogu sadržavati:

  • Podatke o zaposlenicima poput HR korespondencije, pitanja o plaćama i internih obavijesti
  • Podatke o kupcima, informacije o narudžbama, račune i razgovore s podrškom
  • Veze za poništavanje lozinke i jednokratne kodove koje šalju usluge trećih strana
  • Privitke poput ugovora, skenova i financijskih dokumenata

Iz dostupnih izvješća ne znamo je li neka konkretna organizacija izgubila podatke zbog ove ranjivosti i bilo bi pogrešno to pretpostaviti. Poanta je o izloženosti: kada je ovakav gateway kompromitiran, pogođeni su i ljudi koji su pisali toj organizaciji iako nikada nisu posjedovali ni konfigurirali uređaj.

Postoji i širi obrazac napada na korporativnu infrastrukturu. Sigurnosni timovi nedavno su se bavili Citrixovim pozivom na hitno zakrpavanje NetScalera dok su se napadi širili i Cisco FMC zero-day ranjivošću za koju je CISA upozorila da je iskorištena. Zajednička nit je da su internetu izloženi i upravljački uređaji vrijedne mete, a napadači djeluju brzo kad ranjivost postane poznata.

Što to znači za vas

Ako niste FortiMail administrator, ne možete sami zakrpati ovu ranjivost i ne biste trebali osjećati pritisak da poduzmete drastične mjere. Ipak, nekoliko koraka ima smisla, posebno ako organizacija s kojom poslujete objavi proboj.

  • Pratite službene obavijesti. Ako vam tvrtka, poslodavac, škola ili pružatelj usluga kaže da su mail sustavi pogođeni, pažljivo pročitajte obavijest i slijedite njezine smjernice.
  • Budite oprezni s neočekivanim porukama. Napadači koji dođu do stvarnog sadržaja e-pošte mogu sastaviti uvjerljive nastavke. Sumnjičavo tretirajte neobične zahtjeve za plaćanjem, vjerodajnicama ili hitnim radnjama, čak i ako se pozivaju na stvarne prošle razgovore.
  • Promijenite lozinke gdje je potrebno. Ako ste ikada primili veze za poništavanje lozinke ili poslali vjerodajnice e-poštom pogođenoj organizaciji, promijenite te lozinke i ne koristite ih ponovno drugdje.
  • Uključite višefaktorsku autentifikaciju. Drugi faktor putem aplikacije ili hardvera ograničava štetu ako lozinka ili poruka za poništavanje bude izložena.
  • Izbjegavajte slanje osjetljivih podataka e-poštom kada je dostupan siguran portal.
  • Pratite svoje račune. Obratite pozornost na bankovne izvode i kreditne aktivnosti ako su financijski podaci bili dio vaše razmjene e-pošte s pogođenom organizacijom.

VPN ne štiti od ove vrste ranjivosti na strani poslužitelja jer se izloženost događa unutar korporativne mail infrastrukture, a ne na vašoj vezi. Dobra higijena računa ovdje je važnija.

Ključni zaključci

FortiMail zero-day CVE-2026-104286 kritična je, aktivno iskorištena ranjivost, a dosad objavljeni detalji upućuju na neautentificirano proizvoljno pisanje datoteka s CVSS ocjenom 9,8.

  • Administratori: Provjerite Fortinetov savjet za pogođene verzije, odmah primijenite zakrpe i ublažavanja te istražite znakove ranije kompromitacije.
  • Svi ostali: Ostanite pozorni na obavijesti o probojima, budite oprezni prema naknadnom phishingu, koristite jedinstvene lozinke i omogućite višefaktorsku autentifikaciju.

Ovo je jedan od nekoliko nedavnih slučajeva iskorištavanja korporativne infrastrukture. Za više o tome kako se uklapa u širi trend, pogledajte našu报告 o NetScaler zero-day CVE-2026-88772 iskorištenom od rujna. Ažurirat ćemo ovu priču kako Fortinet i drugi izvori budu objavljivali više informacija.

FAQ: Q1: Što je CVE-2026-104286? A1: To je kritična FortiMail zero-day ranjivost s CVSS ocjenom 9,8 koja se aktivno iskorištava u stvarnim napadima, opisana kao slabost path traversal koja neautentificiranim napadačima omogućuje pisanje proizvoljnih datoteka. Q2: Treba li napadaču valjane vjerodajnice za iskorištavanje ove ranjivosti? A2: Ne, ranjivost ne zahtijeva prijavu, pa je izloženost nepouzdanim mrežama glavni preduvjet za iskorištavanje. Q3: Koje su verzije FortiMaila pogođene? A3: Izvješća pokazuju da je pogođeno više verzija FortiMaila, ali mjerodavan izvor za potpun popis pogođenih grana i ispravljenih izdanja je Fortinetov vlastiti sigurnosni savjet. Q4: Što bi administratori trebali učiniti za ublažavanje ove ranjivosti? A4: Administratori bi trebali identificirati svaku FortiMail instancu, provjeriti verzije u odnosu na Fortinetov savjet, odmah primijeniti zakrpe ili ublažavanja, tražiti znakove kompromitacije i rotirati vjerodajnice. Q5: Zašto samo zakrpavanje možda nije dovoljno? A5: Budući da je iskorištavanje počelo prije objave, samo zakrpavanje možda neće biti dovoljno, pa bi administratori trebali pregledati zapise za neočekivano stvaranje datoteka, nepoznate administrativne promjene i neobične odlazne veze.

---END---