בהודעת האבטחה ש-Fortinet פרסמה ביום חמישי יש טבלה של שבעה קבצים, אלה שתוקפים מוסיפים או משנים על מערכות FortiMail שהם פורצים. הטבלה יצאה לפני העדכון: לשלושה מארבעת קווי הגרסאות החשופים עוד אין גרסה מתוקנת להתקין.

מה קרה

כל הדואר הנכנס והיוצא של ארגון עובר דרך מערכת אחת שמסננת ממנו פישינג (הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים) ונוזקות. FortiMail של Fortinet הוא מוצר כזה, והחולשה שנמצאה בו, CVE-2026-104286, יושבת בממשק הניהול שלו וקיבלה ציון 9.8 מתוך 10.

העיקרון עצמו פשוט. המערכת מקבלת בבקשה שם של קובץ, ואמורה להרכיב ממנו נתיב בתוך תיקייה אחת מוגדרת ולא לצאת ממנה. כשהסינון הזה לא נעשה כמו שצריך, תוקף שמשרבב לשם רצף תווים שמשמעותו "עלה תיקייה למעלה" בוחר בעצמו לאן על הדיסק הקובץ שלו ייכתב. לסוג הבאג הזה קוראים Path Traversal, וכאן הוא משולב עם טיפול שגוי בתו NULL.

מה שמייחד את החולשה הוא התנאים שהיא דורשת, או יותר נכון לא דורשת: בקשת HTTP או HTTPS מתאימה מספיקה, בלי שם משתמש, בלי סיסמה ובלי שאיש בצד השני ילחץ על משהו. Fortinet מדווחת שהחולשה מנוצלת בפועל, כלומר תוקפים השתמשו בה לפני שהיה לה תיקון, וזאת חולשת יום-אפס. את החולשה מצא Gwendal Guegniaud מצוות אבטחת המוצר של Fortinet עצמה.

הגרסאות החשופות הן FortiMail 8.0.0 עד 8.0.1, 7.6.0 עד 7.6.6, 7.4.0 עד 7.4.8 ו-7.2.0 עד 7.2.9. הגרסאות שיכילו את התיקון, 7.4.9, 7.6.7 ו-8.0.2, טרם שוחררו, ולמשתמשי 7.2 Fortinet אומרת לעבור לקו 7.4 ומעלה.

למה זה חשוב לכם

את FortiMail לא מתקינים בבית, וזה ציוד שמחלקת מערכות המידע מנהלת. אבל ציוד של Fortinet נפוץ בארגונים בישראל מכל הגדלים, ולכן יש סיכוי טוב שמערכת כזאת יושבת בין מקום העבודה שלכם או קופת החולים שלכם לבין הדואר שנכנס אליהם. מי שמשתלט על שער הדואר נמצא על הנתיב שכל הודעה עוברת בו.

סוכנות הסייבר האמריקאית CISA הכניסה את החולשה ב-1 באוקטובר לרשימת החולשות שידוע שתוקפים מנצלים בפועל, והציבה לגופי הממשל הפדרליים מועד תיקון אחרון: 4 באוקטובר. שלושה ימים.

מה עושים?

אם אתם אחראים על FortiMail, בדקו קודם איזו גרסה רצה אצלכם והשוו אותה לארבעת הטווחים שלמעלה.

עד שתצא גרסה מתוקנת לקו שלכם, Fortinet מציעה שתי עקיפות: להשבית את רכיב ההצפנה IBE בהגדרות המערכת, או לחסום את ממשק הניהול מהאינטרנט ולהשאיר אליו גישה רק מרשתות פנימיות מוכרות. השנייה היא הגדרה שראוי שתהיה שם בכל מקרה, חולשה או לא.

מכיוון שהחולשה מנוצלת בשטח, התייחסו למערכת כאל כזאת שאפשר שכבר נפרצה ולא רק כאל חשופה. הודעת האבטחה מפרטת את שבעת הקבצים עם ה-hash שלהם ושתי כתובות IP, 79.141.169.187 ו-45.129.0.192, ואפשר לחפש אותן ביומני המערכת.

עדכון סוגר את הדלת. הוא לא מוציא את מי שכבר נכנס דרכה.