חולשה במוצר FortiMail של Fortinet מאפשרת לתוקף שאינו מזוהה כלל לכתוב קבצים על המערכת, דרך בקשת HTTP או HTTPS רגילה. היא קיבלה ציון 9.8 מתוך 10, ותוקפים כבר משתמשים בה. סוכנות הסייבר האמריקאית הכניסה אותה לרשימת החולשות המנוצלות ב-1 באוקטובר 2026, ונתנה לגופי הממשל שלה שלושה ימים לתקן.

מה החולשה?

כשמערכת מקבלת בקשה שכוללת שם של קובץ, היא אמורה להרכיב ממנו נתיב בתוך תיקייה מוגדרת מראש ולא לצאת ממנה. כאן הסינון הזה לא נעשה כמו שצריך. תוקף שמשרבב לשם הקובץ רצף תווים שמשמעותו "עלה תיקייה אחת למעלה" יוצא מהתיקייה שיועדה לו, ובוחר בעצמו לאן הקובץ שלו ייכתב. לסוג הבאג הזה קוראים path traversal.

מה שהופך את זה לחמור במיוחד הוא לא הכתיבה עצמה אלא מי רשאי לבצע אותה. לפי הרשומה, הבקשה אינה דורשת שם משתמש, סיסמה או כל הזדהות אחרת, ואינה דורשת שמישהו בצד השני ילחץ על משהו. כל מי שיכול להגיע למערכת ברשת יכול לנסות.

כתיבת קבצים חופשית על מערכת היא כמעט תמיד רק התחנה הראשונה ולא היעד, ולכן גם הציון הגבוה: הרשומה מסמנת פגיעה גבוהה בשלושת הצירים, סודיות, שלמות וזמינות, בלי שום תנאי מקדים.

מי מושפע?

החולשה נוגעת לארבעה קווי גרסאות של FortiMail: 8.0.0 עד 8.0.1, 7.6.0 עד 7.6.6, 7.4.0 עד 7.4.8, ו-7.2.0 עד 7.2.9. מי שמריץ גרסה שנופלת לתוך אחד הטווחים האלה חשוף.

זה לא ציוד שנמצא בבית. FortiMail הוא מוצר ארגוני שמותקן ומנוהל בידי מחלקת מערכות המידע, ולכן לקורא הפרטי אין כאן שום פעולה אישית לעשות. מי שזה נוגע לו בישראל הם הארגונים עצמם, וציוד של Fortinet נפוץ כאן בארגונים מכל הגדלים. אם אתם אחראים על תשתית כזאת, זאת בדיקה לעכשיו.

האם מנוצלת בפועל?

כן. ב-1 באוקטובר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל ולא רק בתיאוריה.

הפרט שמעיד על הדחיפות הוא התאריך שנקבע לצידה. CISA מציבה לכל רשומה בקטלוג מועד אחרון לתיקון עבור גופי הממשל הפדרליים בארצות הברית, וכאן המועד הוא 4 באוקטובר 2026. שלושה ימים אחרי ההכנסה לרשימה.

מה עושים?

קודם כול בדקו איזו גרסה רצה אצלכם, והשוו אותה לארבעת הטווחים שלמעלה. אם היא בתוכם, המערכת חשופה וצריך לעדכן.

את מספר הגרסה המתוקנת לכל קו גרסאות מפרסמת Fortinet בהודעת האבטחה שלה, וזה המקור שצריך לעבוד מולו ולא רשימה שנייה כלשהי. הודעת האבטחה של Fortinet

ונקודה שקל לפספס כשממהרים לעדכן: חולשה שכבר מנוצלת בשטח פירושה שהעדכון מגן מכאן והלאה, אבל אינו מבטל פריצה שכבר קרתה. מכיוון שהחולשה מאפשרת לכתוב קבצים בלי הזדהות, אחרי העדכון עברו על יומני הגישה של ממשק ה-HTTP וחפשו בקשות חריגות מהתקופה שקדמה לו.