Saldırılarda kullanılan FortiMail açığının yaması yayımlandı

Fortinet, e-posta güvenlik cihazı FortiMail’de saldırılarda kullanılan kritik bir açık bulunduğunu 1 Ekim’de duyurdu. CVE-2026-104286 numaralı açık, kimliği doğrulanmamış bir saldırganın özel hazırlanmış HTTP ya da HTTPS istekleriyle cihazın dosya sistemine istediği dosyayı yazmasına izin veriyor. Sorun, dosya yollarının sınırlandırılmasındaki bir hata (path traversal) ile NULL bayt karakterinin doğru işlenmemesinden kaynaklanıyor. CVSS 3.1 puanı 9.8.

Açığı Fortinet’in kendi ürün güvenliği ekibi buldu. Şirketin paylaştığı bulgulara göre saldırganlar ele geçirdikleri cihazlara yeni dosyalar bıraktı ve bazı sistem dosyalarını değiştirdi. BleepingComputer’ın aktardığına göre bazı cihazlarda e-postaları uzak sunuculara kopyalayan arşiv hesapları da tanımlandı. CISA açığı aynı gün aktif olarak istismar edilen açıklar kataloğuna ekledi ve ABD federal kurumlarına 4 Ekim’e kadar süre verdi.

FortiMail, kurumların gelen ve giden e-postalarını süzen bir cihaz. Ele geçirilmesi, kurumun bütün e-posta trafiğinin saldırganın eline geçmesi anlamına gelebiliyor.

Etkilenen sürümler

• FortiMail 8.0: 8.0.0 ve 8.0.1
• FortiMail 7.6: 7.6.0 ile 7.6.6 arası
• FortiMail 7.4: 7.4.0 ile 7.4.8 arası
• FortiMail 7.2: 7.2.0 ile 7.2.9 arası

Fortinet düzeltmenin 8.0.2, 7.6.7 ve 7.4.9 sürümleriyle geleceğini açıkladı. 7.2 kullananların 7.4 ya da daha yeni bir sürüme geçmesi gerekiyor. Bu yazı yayımlandığında düzeltilmiş sürümler henüz indirilebilir değildi.

Yama gelene kadar

Fortinet’in önerdiği ilk önlem, kimlik tabanlı şifreleme (IBE) özelliğini komut satırından kapatmak:

config system encryption ibe
set status disable
end

İkinci önlem, yönetim arayüzüne erişimi yalnızca güvenilen iç ağlarla sınırlamak. IBE’yi şifreli e-posta göndermek için kullanan kurumlar bu özelliği kapatamıyorsa, en azından yönetim arayüzünün internetten erişilemez olduğundan emin olmalı.

Cihazın daha önce ele geçirilip geçirilmediğini de kontrol etmek gerekiyor. Fortinet’in paylaştığı izlere göre /data/lib/liblog.so, /bin/smit, /data/bin/webconsole ve /data/bin/mailservice dosyaları saldırganlarca eklenmiş ya da değiştirilmiş olabilir. Bu dosyaların özetlerini (SHA256) Fortinet’in tavsiyesindeki değerlerle karşılaştırmak gerekiyor. Saldırılarla ilişkilendirilen IP adresleri 79.141.169.187 ve 45.129.0.192. Kayıtlarda bu adreslerle bağlantı ya da tanımadığınız bir arşiv hesabı görürseniz, cihazı yeniden kurmadan önce kayıtları ve yapılandırmayı saklayın, ardından bütün yönetici parolalarını değiştirin.