CISA zařadila do katalogu KEV aktivně zneužívanou zranitelnost poštovní brány FortiMail. Fortinet doporučuje okamžité dočasné opatření, protože opravné verze v bezpečnostním bulletinu zatím označuje jako připravované.

Zranitelnost CVE-2026-104286 má podle Fortinetu hodnocení CVSS 3.1 9,8. Kombinuje chybu při omezení cest k souborům a nesprávné zpracování nulového znaku. Útočník bez přihlášení může pomocí upravených požadavků HTTP nebo HTTPS zapisovat libovolné soubory do systému, což může vést ke spuštění neoprávněného kódu nebo příkazů.

Postiženy jsou verze FortiMail 8.0.0 až 8.0.1, 7.6.0 až 7.6.6, 7.4.0 až 7.4.8 a 7.2.0 až 7.2.9. Výrobce uvádí připravované opravy ve verzích 8.0.2, 7.6.7 a 7.4.9. Pro větev 7.2 doporučuje přechod na opravenou verzi novější větve.

Jako dočasné opatření Fortinet doporučuje vypnout funkci Identity-Based Encryption (IBE), a to v grafickém rozhraní nebo přes příkazový řádek. Jako alternativu uvádí znepřístupnění správcovského rozhraní z internetu nebo omezení přístupu na důvěryhodnou privátní síť. Bulletin obsahuje také indikátory kompromitace, podle kterých mohou správci prověřit soubory a záznamy na zařízení.