Bramka pocztowa FortiMail, która w wielu firmach filtruje całą przychodzącą i wychodzącą korespondencję, ma krytyczną lukę wykorzystywaną już w atakach. Fortinet opisał ją 1 października 2026 roku i od razu przyznał, że gotowej poprawki nie ma. Wersje naprawcze dla gałęzi 7.4, 7.6 i 8.0 są dopiero zapowiedziane, a gałąź 7.2 nie dostanie poprawki wcale. Do czasu wydania nowych wersji jedyną ochroną jest obejście, które trzeba włączyć ręcznie. Samo obejście nie usuwa skutków włamania, jeśli do niego już doszło. Poniżej opisujemy, kogo dotyczy luka, co wyłączyć dziś i po czym poznać, że urządzenie zostało przejęte.
Co się stało z FortiMail i kogo dotyczy luka
Aktualizacja 4 października 2026: Fortinet zmienił treść komunikatu FG-IR-26-175, choć w historii zmian nadal widnieje tylko publikacja z 1 października. Alternatywne obejście dotyczy teraz interfejsu webmail, a nie panelu zarządzania. Producent zaleca odcięcie webmaila od internetu albo ograniczenie dostępu do zaufanej sieci prywatnej. Przy zaporze aplikacyjnej (WAF) przed bramką można też blokować żądania POST do ścieżki /ibe zawierające ciąg ../. IBE można wyłączyć także w panelu urządzenia. Z komunikatu zniknęła lista plików dodawanych przez atakujących, zostały adresy IP i wpisy w logach. Komunikat CERT Polska z 2 października powtarza jeszcze wcześniejsze brzmienie o interfejsie zarządzania. Poprawek nadal nie ma: wersje 8.0.2, 7.6.7 i 7.4.9 są wciąż oznaczone jako zapowiedziane. Poprawiliśmy fragmenty tekstu, których te zmiany dotyczą.
Luka ma numer CVE-2026-104286. Według komunikatu Fortinetu FG-IR-26-175 pozwala atakującemu bez logowania zapisać dowolne pliki w systemie urządzenia. Wystarczą mu odpowiednio spreparowane żądania HTTP albo HTTPS. Producent ocenia ją na 9,8 w skali CVSS, czyli prawie maksymalnie, i oznacza jako wykorzystywaną w atakach. Lukę znalazł zespół bezpieczeństwa produktów Fortinetu.
Tego samego dnia amerykańska agencja CISA dopisała lukę do katalogu podatności wykorzystywanych w atakach (KEV). Agencjom federalnym w USA dała czas na reakcję do 4 października. Czy lukę wykorzystują grupy wymuszające okup (ransomware), CISA jeszcze nie wie.
| Gałąź | Podatne wersje | Rozwiązanie według Fortinetu (stan na 2 października rano) |
|---|---|---|
| 8.0 | 8.0.0 do 8.0.1 | zapowiedziana wersja 8.0.2 |
| 7.6 | 7.6.0 do 7.6.6 | zapowiedziana wersja 7.6.7 |
| 7.4 | 7.4.0 do 7.4.8 | zapowiedziana wersja 7.4.9 |
| 7.2 | 7.2.0 do 7.2.9 | brak poprawki, przejście na gałąź 7.4 lub nowszą |
Fortinet nie podaje, ile urządzeń zaatakowano ani w jakich krajach. Nie ma też informacji o ofiarach w Polsce. Wiadomo jedno: włamanie jest możliwe bez hasła, więc każda podatna bramka z interfejsem webmail dostępnym z internetu jest potencjalnym celem.
Na zdjęciu wyróżniającym: stoisko Fortinetu na targach ITU WTSA 2024 w Delhi. Fot. Dev Jadiya, Wikimedia Commons, licencja CC BY-SA 4.0.
Pierwsza Misja AI · Kodożercy
Pierwszy raz z AI? Zaczynasz od zera.
Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania. Nie musisz pisać kodu ani znać żargonu. Dowiesz się, jak działa AI, jak promptować i jak korzystać z niej w pracy.
Wejdź na pokład →
Co wyłączyć w FortiMail dziś
Fortinet podaje obejście i dwie możliwości zastępcze. Obejście wyłącza obsługę IBE, czyli szyfrowania opartego na tożsamości. To funkcja, dzięki której bramka wysyła zaszyfrowane wiadomości do odbiorców spoza firmy, a ci odczytują je po zalogowaniu na portalu urządzenia. W panelu urządzenia służy do tego przełącznik IBE Service w menu Encryption → IBE (ustawienie “off”). W wierszu poleceń (CLI) wystarczy wpisać:
config system encryption ibe
set status disable
end
Producent nie opisuje skutków ubocznych. Trzeba się jednak liczyć z tym, że po wyłączeniu IBE szyfrowana poczta wysyłana przez ten portal przestanie działać. Warto uprzedzić o tym osoby, które z niej korzystają.
Alternatywą według Fortinetu jest odcięcie od internetu interfejsu webmail, czyli dostępu do poczty przez przeglądarkę. Można też ograniczyć dostęp do niego wyłącznie do zaufanej sieci prywatnej. Gdy przed bramką stoi zapora aplikacyjna (WAF), można w niej blokować żądania POST do ścieżki /ibe zawierające ciąg ../. Pierwsza wersja komunikatu mówiła o interfejsie zarządzania. Obecna wskazuje webmail, więc samo zamknięcie panelu administracyjnego nie jest obejściem opisanym przez producenta. Panel i tak warto trzymać poza zasięgiem z zewnątrz, także po wydaniu poprawek.
Kolejność działań wygląda tak:
- Sprawdź wersję każdej bramki w firmie i porównaj z tabelą wyżej.
- Włącz jedno z obejść: wyłącz IBE poleceniem z ramki, zamknij dostęp do webmaila z internetu albo zablokuj w WAF opisane wyżej żądania do
/ibe. - Przejrzyj ślady włamania (sekcja niżej). Obejście zamyka drogę ataku, ale nie cofa przejęcia, które już się wydarzyło.
- Śledź komunikat FG-IR-26-175 i zainstaluj wersję 8.0.2, 7.6.7 albo 7.4.9, gdy tylko się pojawi.
- Na gałęzi 7.2 zaplanuj przejście na 7.4 lub nowszą, bo tam poprawki nie będzie.
Jak sprawdzić, czy FortiMail został przejęty
Fortinet opublikował wskaźniki włamania, czyli ślady, jakie atak zostawia na urządzeniu. Najłatwiej sprawdzić konfigurację i logi. W jednym z opublikowanych wpisów konto archiwum archive234 zostało dodane z poziomu konta admin i ustawione tak, by kopiować pocztę na zdalny serwer pod adresem 79.141.169.187. Ten sam adres jest na liście adresów atakujących, a wpis nie oznacza, że konto założył prawowity administrator. Może to wskazywać na próbę wyprowadzania korespondencji firmy.
Co sprawdzić w konfiguracji i logach
Co sprawdzić w pierwszej kolejności:
- konta archiwum w konfiguracji, zwłaszcza takie z docelowym serwerem zdalnym, których nikt w firmie nie zakładał,
- logi zdarzeń i połączenia z adresami 79.141.169.187 oraz 45.129.0.192,
- wylogowania konta
adminbez adresu źródłowego (w logu “from (null)”) oraz wpisy harmonogramu zadań (cron) z poleceniami odwołującymi się do/migadmin.
Kiedy uznać bramkę za przejętą
Pierwsza wersja komunikatu Fortinetu wymieniała też pliki dodane albo zmienione przez atakujących, między innymi /data/lib/liblog.so, /data/etc/ld.so.preload i zmodyfikowany /data/etc/httpd.conf, razem z ich sumami kontrolnymi. W wersji z 4 października tej listy już nie ma. Ścieżki przydadzą się osobom, które będą analizować urządzenie, na przykład wsparciu producenta albo firmie od reagowania na incydenty.
Mocne sygnały przejęcia to nieznane konto archiwum i zadanie odwołujące się do /migadmin. Do tej grupy należą też pliki zgodne ze ścieżkami i sumami kontrolnymi z pierwszej wersji komunikatu. Każdy z nich powinien uruchomić procedurę reagowania na incydent i zgłoszenie do CERT Polska. Jeśli znajdziesz nieznane konto archiwum wysyłające dane na zdalny serwer, korespondencję z tego okresu trzeba uznać za możliwie ujawnioną. Pojedyncze połączenie z adresem z listy albo nietypowy wpis w logu może oznaczać tylko próbę ataku, więc warto zestawić go z pozostałymi śladami. Firmy objęte ustawą o krajowym systemie cyberbezpieczeństwa mają własne obowiązki zgłoszeniowe, które opisujemy w przewodniku o NIS2 i ustawie o KSC.
Od połowy lipca CISA dopisała do katalogu KEV pięć luk w produktach Fortinetu, licząc tę. Urządzenia brzegowe, czyli te, które stoją między siecią firmy a internetem, często trafiają na tę listę. We wrześniu opisywaliśmy luki w panelu WWW routerów MikroTik i botnet zbudowany z cudzych routerów. 6 października 2026 roku FBI i Secret Service ostrzegły przed kampanią FortiBleed, w której napastnicy zakładają własne konta administratora na zaporach FortiGate i odcinają prawowitych administratorów.
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Podsumowanie
CVE-2026-104286 to krytyczna luka w bramce pocztowej FortiMail, która pozwala bez logowania zapisać pliki w systemie urządzenia i jest już wykorzystywana. Dotyczy gałęzi 7.2, 7.4, 7.6 i 8.0. W chwili publikacji tego tekstu poprawek nie było i 4 października nadal ich nie ma. Wersje 7.4.9, 7.6.7 i 8.0.2 są zapowiedziane, a użytkownicy 7.2 muszą przejść na nowszą gałąź. Dziś chroni wyłącznie obejście z komunikatu Fortinetu: wyłączenie IBE trzema poleceniami w CLI albo odcięcie webmaila od internetu. Alternatywą jest blokada podejrzanych żądań w WAF. Ponieważ obejście nie cofa przejęcia, trzeba też przejrzeć konta archiwum, logi i połączenia z dwoma adresami z listy wskaźników. Nieznane konto archiwum ze zdalnym serwerem to sygnał, że poczta firmy mogła wypłynąć na zewnątrz.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
