Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-22
  • CWE-158

CVE-2026-104286

Fortinet FortiMail'de kimlik doğrulamasız yol geçişi ile rastgele dosya yazma

Fortinet FortiMail

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
26 gün
Kaydı açan
fortinet
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 1 Eki 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 4 Eki 2026.

Yönetici özeti

E-posta güvenlik geçidi olarak kullanılan FortiMail cihazlarındaki bu açık, internetten herhangi bir şifre gerekmeden istismar edilebiliyor ve saldırganlar tarafından zaten kullanılıyor. Cihazın ele geçirilmesi e-posta trafiğinin ve kurum verilerinin riske girmesi anlamına gelir. Etkilenen cihazlar için acil önlem alınmalıdır.

ÖzetTürkçe

Fortinet FortiMail ürününde yol geçişi (path traversal) zafiyeti bulunuyor. Kimlik doğrulaması yapmamış bir saldırgan, özel hazırlanmış HTTP veya HTTPS istekleriyle alttaki sistemde rastgele dosya yazabilir. Üretici açıklamasına göre etkilenen sürümler 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 ve 7.2.0–7.2.9 aralıklarıdır. Ürün listesinde 7.0.x sürümleri de etkilenen olarak geçiyor. Zafiyet CISA KEV listesinde yer alıyor, yani aktif olarak istismar ediliyor.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan sistemde rastgele dosya yazabilir. Bu da gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır (CVSS 9.8, kritik).

Kaynaktaki açıklama (İngilizce)

An improper limitation of a pathname to a restricted directory ('path traversal') vulnerability in Fortinet FortiMail 8.0.0, FortiMail 7.6.0 through 7.6.5, FortiMail 7.4.0 through 7.4.7, FortiMail 7.2.0 through 7.2.9, FortiMail 7.0 all versions may allow an unauthenticated attacker to write arbitrary files on the underlying system via crafted HTTP or HTTPS requests.

Üreticinin çözüm notu (İngilizce)

Upgrade to FortiMail version 8.0.2 or above
Upgrade to FortiMail version 7.6.7 or above
Upgrade to FortiMail version 7.4.9 or above
Upgrade to upcoming FortiMail version 7.2.10 or above

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Üreticinin belirttiği düzeltilmiş sürümlere yükseltin: FortiMail 8.0.1 veya üzeri, 7.6.6 veya üzeri, 7.4.8 veya üzeri ya da 7.2.10 veya üzeri. Üretici bu sürümleri 'yakında çıkacak' olarak belirtiyor; yayımlanma durumunu Fortinet duyurusundan takip edin. Üretici
  2. FortiRecorder kullanıyorsanız üreticinin belirttiği sürümlere yükseltin: 7.6.1 veya üzeri, 7.2.12 veya üzeri ya da 7.0.7 veya üzeri (7.0.7 henüz yayımlanmamış olabilir). Üretici
  3. FortiMail Cloud kullanıcılarının işlem yapmasına gerek yoktur; üretici sorunu bulut tarafında gidermiştir. Üretici
  4. CISA yönergesi uyarınca üreticinin sunduğu önlemleri uygulayın, CISA'nın adli bilişim ön inceleme (forensics triage) gereksinimlerini karşılayın ve her varlığın internete açıklığını değerlendirin. CISA
  5. Önlemler uygulanamıyorsa ürünün kullanımını durdurun. Yama yayımlanana kadar cihazın yönetim ve web arayüzüne internetten erişimi kısıtlayın. CISA

Ek önlemler

  • Aktif istismar bilindiğinden etkilenen FortiMail cihazlarını olası ele geçirilmeye karşı inceleyin; beklenmedik dosyalar, olağan dışı HTTP/HTTPS istekleri ve şüpheli yapılandırma değişikliklerini kontrol edin. Genel öneri
  • Cihazın web ve yönetim arayüzlerini yalnızca güvenilir IP adreslerine veya VPN üzerinden erişilebilir hale getirin. Genel öneri
  • Cihaz günlüklerini merkezi bir log sistemine aktarın ve yol geçişi denemelerine benzer istekler için uyarı kuralları tanımlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Fortinet FortiMail 8.0.0 –
≥ 7.6.0, ≤ 7.6.5 –
≥ 7.4.0, ≤ 7.4.7 –
≥ 7.2.0, ≤ 7.2.9 –
≥ 7.0.0, ≤ 7.0.9 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Açıklama güncellendi
  2. Etkilenen sürüm bilgisi güncellendi
  3. Yayımlandı
  4. CISA KEV listesine eklendi (saldırılarda kullanılıyor)

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.