A Fortinet alertou que uma falha crítica em sua plataforma de segurança de e-mail FortiMail está sendo explorada em ataques reais antes que muitas organizações tivessem a chance de se preparar. O zero-day do FortiMail CVE-2026-104286 é um problema sério para administradores, mas também é relevante para qualquer pessoa cujos e-mails passam pelo gateway de correio de uma empresa. Isso inclui funcionários, clientes, pacientes e parceiros de negócios.

Este artigo aborda o que se sabe até agora, o que os administradores devem fazer e como as pessoas comuns podem responder se uma organização com a qual se relacionam for afetada.

O que a Fortinet Diz Sobre o Zero-Day do FortiMail

A Fortinet afirma que o CVE-2026-104286 está sob ataque ativo. Veículos de segurança que cobrem o comunicado o descrevem como uma falha crítica com pontuação CVSS de 9,8, em uma escala de até 10. Relatos o descrevem como uma vulnerabilidade de path traversal que permite a um atacante não autenticado gravar arquivos arbitrários no sistema subjacente.

Esses detalhes explicam a classificação de gravidade:

  • Nenhum login necessário. Um atacante não precisa de credenciais válidas, portanto a exposição a redes não confiáveis é o principal pré-requisito.
  • Gravação arbitrária de arquivos. Poder colocar arquivos em um appliance pode ser um trampolim para executar código, plantar persistência ou alterar o comportamento do dispositivo. Os relatos descrevem a falha como permitindo gravação de arquivos. A atividade exata de pós-exploração observada nos ataques não foi detalhada no material que revisamos.
  • Status de zero-day. Os atacantes estavam usando a falha antes que uma correção estivesse amplamente disponível, o que deixa aos defensores pouco tempo.

Um alerta de segurança que circula online também faz referência à inclusão da falha no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA. Os administradores devem confirmar a listagem atual diretamente com a CISA e a Fortinet, em vez de confiar em resumos de segunda mão.

Quais Versões São Afetadas e Como Mitigar

Os relatos indicam que múltiplas versões do FortiMail são afetadas. Os artigos que revisamos não fornecem uma lista de versões confiável e completa, e não vamos adivinhar uma. A fonte autoritativa é o próprio comunicado de segurança da Fortinet para o CVE-2026-104286, que lista os branches afetados e as versões corrigidas.

Para administradores, uma ordem sensata de operações é a seguinte:

  1. Identifique cada instância do FortiMail. Inclua appliances físicos, máquinas virtuais e quaisquer unidades de teste ou secundárias que são fáceis de esquecer.
  2. Verifique as versões em relação ao comunicado da Fortinet. Confirme se cada unidade se enquadra em uma faixa afetada.
  3. Aplique os patches da Fortinet ou as mitigações indicadas pelo fornecedor imediatamente. Quando um patch não puder ser instalado de imediato, use qualquer solução alternativa provisória fornecida pela Fortinet e limite a exposição das interfaces de gerenciamento e de tratamento de correio a redes confiáveis.
  4. Procure sinais de comprometimento. Como a exploração começou antes da divulgação, apenas aplicar o patch pode não ser suficiente. Revise os logs em busca de criação inesperada de arquivos, alterações administrativas desconhecidas e conexões de saída incomuns a partir do appliance.
  5. Rotacione credenciais e segredos armazenados ou acessíveis em qualquer appliance que você suspeite ter sido afetado.

Esse padrão é familiar. Sistemas de borda e de gerenciamento são alvos atraentes, como visto na recente exploração do FortiClient EMS ligada ao CVE-2026-35616, onde uma falha crítica da Fortinet foi usada contra empresas.

Por que um Gateway de Correio Comprometido Coloca Dados Pessoais em Risco

Um gateway de segurança de correio fica no caminho do e-mail de uma organização. Dependendo da configuração, ele pode inspecionar, filtrar, colocar em quarentena, arquivar ou retransmitir mensagens em ambas as direções. É esse posicionamento que torna um comprometimento preocupante muito além da equipe de TI que gerencia o equipamento.

Mensagens que passam pela infraestrutura de correio de uma empresa podem conter:

  • Informações de funcionários, como correspondência de RH, questões de folha de pagamento e comunicados internos
  • Dados de clientes, informações de pedidos, faturas e conversas de suporte
  • Links de redefinição de senha e códigos de uso único enviados por serviços de terceiros
  • Anexos como contratos, digitalizações e documentos financeiros

Não sabemos, pelos relatos disponíveis, se alguma organização específica perdeu dados por meio dessa falha, e seria errado presumir que sim. O ponto é sobre exposição: quando um gateway como esse é comprometido, as pessoas que escreveram para aquela organização são afetadas, mesmo que nunca tenham possuído ou configurado o appliance.

Há também um padrão mais amplo de ataques à infraestrutura empresarial. Equipes de segurança recentemente lidaram com a Citrix pedindo aplicação imediata de patches no NetScaler à medida que os ataques se ampliaram e com um zero-day do Cisco FMC que a CISA alertou ter sido explorado. O fio condutor comum é que appliances voltados para a internet e de gerenciamento são alvos valiosos, e os atacantes agem rapidamente assim que uma falha é conhecida.

O que Isso Significa Para Você

Se você não é um administrador do FortiMail, não pode corrigir isso sozinho e não deve se sentir pressionado a tomar medidas drásticas. Ainda assim, algumas etapas fazem sentido, especialmente se uma organização com a qual você se relaciona anunciar uma violação.

  • Fique atento a avisos oficiais. Se uma empresa, empregador, escola ou prestador de serviços informar que os sistemas de e-mail foram afetados, leia o aviso com atenção e siga suas orientações.
  • Tenha cautela com mensagens inesperadas. Atacantes que obtêm conteúdo real de e-mail podem elaborar follow-ups convincentes. Trate pedidos incomuns de pagamento, credenciais ou ação urgente com desconfiança, mesmo que façam referência a conversas reais anteriores.
  • Troque senhas onde for necessário. Se você já recebeu links de redefinição de senha ou enviou credenciais por e-mail para a organização afetada, troque essas senhas e não as reutilize em outros lugares.
  • Ative a autenticação multifator. Um segundo fator baseado em aplicativo ou hardware limita os danos se uma senha ou mensagem de redefinição for exposta.
  • Evite enviar dados sensíveis por e-mail quando houver um portal seguro disponível.
  • Monitore suas contas. Fique de olho em extratos bancários e atividades de crédito se detalhes financeiros fizeram parte de suas trocas de e-mail com uma organização afetada.

Uma VPN não protege contra esse tipo de falha do lado do servidor, pois a exposição ocorre dentro da infraestrutura de correio de uma organização, e não na sua conexão. Uma boa higiene de contas importa mais aqui.

Principais Conclusões

O zero-day do FortiMail CVE-2026-104286 é uma falha crítica e ativamente explorada, e os detalhes relatados até agora apontam para gravação arbitrária de arquivos sem autenticação, com pontuação CVSS de 9,8.

  • Administradores: Consultem o comunicado da Fortinet para versões afetadas, apliquem patches e mitigações imediatamente e investiguem sinais de comprometimento anterior.
  • Todos os outros: Fiquem atentos a avisos de violação, desconfiem de phishing de acompanhamento, usem senhas únicas e ativem a autenticação multifator.

Este é um de vários casos recentes de infraestrutura empresarial explorada. Para saber mais sobre como ele se encaixa na tendência maior, veja nossa cobertura do zero-day do NetScaler CVE-2026-88772 explorado desde setembro. Atualizaremos esta matéria à medida que a Fortinet e outras fontes divulgarem mais informações.