آسیب پذیری بحرانی FortiMail درحال سوءاستفاده است؛ ارائه راهکار فوری فورتی نت!
شرکت فورتی نت درباره یک آسیب‌پذیری بحرانی Zero-Day در FortiMail هشدار داده است که در حال حاضر در حملات واقعی مورد سوءاستفاده قرار گرفته است. این آسیب‌پذیری با شناسه CVE-2026-104286 و امتیاز CVSS 9.8 به مهاجم بدون احراز هویت اجازه می‌دهد تا به سیستم زیرین فورتی میل دسترسی پیدا کند و فایل‌های دلخواه روی آن ایجاد کند.
فورتی نت از کاربران خود خواسته است تا زمان انتشار نسخه‌های اصلاح‌شده، راهکار موقت ارائه‌شده را برای مقابله با آسیب پذیری FortiMail اجرا کنند. آژانس امنیت سایبری و زیرساخت آمریکا (CISA) نیز این آسیب‌پذیری را فوراً در فهرست KEV قرار داده و بازبینی در خدمات امنیت شبکه برای مقابله با آن را گوشزد کرده است. در ادامه با بررسی و توصیه‌های فالنیک همراه باشید.
آسیب‌پذیری CVE-2026-104286 در FortiMail چیست؟
آسیب‌پذیری CVE-2026-104286 ترکیبی از دو نقص امنیتی است: پیمایش مسیر و خنثی‌سازی نامناسب کاراکتر Null. این نقص‌ها در کنار یکدیگر می‌توانند به یک مهاجم بدون نیاز به احراز هویت اجازه دهند با ارسال درخواست HTTP یا HTTPS دست‌کاری‌شده، فایل‌های دلخواه خود را روی سیستم زیرین FortiMail بنویسد. این نقص با امنتیاز CVSS 3.1 برابر 9.8، در دسته آسیب‌پذیری‌های بحرانی و بسیار خطرناک قرار گرفته است.
اما مهم‌ترین نکته درباره این نقص، بهره‌برداری فعال از آن در حملات واقعی است. فورتی نت رسماً تأیید کرده که آسیب پذیری FortiMail با شناسه CVE-2026-104286 در حملات مورد سوءاستفاده قرار گرفته است، اما جزئیاتی درباره مهاجمان، اهداف یا تعداد دستگاه‌های آسیب‌دیده منتشر نکرده است.
آسیب‌پذیری CVE-2026-104286 در ۱ اکتبر ۲۰۲۶ توسط CISA به فهرست Known Exploited Vulnerabilities اضافه شد. قرار گرفتن یک آسیب‌پذیری در فهرست KEV نشان می‌دهد که خطر آن صرفاً تئوری نیست و شواهدی از سوءاستفاده واقعی از آن وجود دارد. CISA به سازمان‌های دولتی غیرنظامی آمریکا نیز تا ۴ اکتبر ۲۰۲۶ فرصت داده بود تا اقدامات لازم برای رفع این آسیب‌پذیری را انجام دهند.
بنابراین سازمان‌هایی که از FortiMail استفاده می‌کنند باید وضعیت نسخه و دسترسی مدیریتی تجهیزات خود را در اولویت بررسی قرار دهند.
کدام نسخه‌های FortiMail در معرض خطر هستند؟
بر اساس اطلاعیه امنیتی فورتی نت نسخه‌های زیر تحت تأثیر CVE-2026-104286 قرار دارند:
| نسخه FortiMail | وضعیت |
|---|---|
| 8.0.0 تا 8.0.1 | آسیب‌پذیر |
| 7.6.0 تا 7.6.6 | آسیب‌پذیر |
| 7.4.0 تا 7.4.8 | آسیب‌پذیر |
| 7.2.0 تا 7.2.9 | آسیب‌پذیر |
Fortinet اعلام کرده است که این آسیب‌پذیری در نسخه‌های زیر که در آینده منتشر می‌شوند، برطرف خواهد شد. همچنین کاربران نسخه 7.2 نیز باید به نسخه 7.4 یا بالاتر ارتقا دهند.
- FortiMail 8.0.2
- FortiMail 7.6.7
- FortiMail 7.4.9
راهکار موقت فورتی نت برای مقابله با آسیب پذیری FortiMail
تا زمان انتشار نسخه‌های اصلاح‌شده، فورتی نت توصیه کرده است قابلیت Identity-Based Encryption یا IBE در FortiMail غیرفعال شود. برای غیرفعال کردن IBE، مدیر سیستم می‌تواند از دستورات زیر در CLI استفاده کند:
config system encryption ibe set status disable end
این اقدام یک راهکار موقت برای کاهش خطر است و باید تا زمان انتشار و نصب نسخه اصلاح‌شده مورد استفاده قرار گیرد.
هشدار مهم: توصیه می‌شود که اعمال این راهکار توسط کارشناسان امنیت شبکه انجام شود؛ اعمال اشتباه این تغییرات می‌تواند فورتی میل را در معرض آسیب‌پذیری‌های بیشتر قرار دهد.
محدود کردن دسترسی اینترنتی به رابط مدیریت
راهکار دیگر برای مقابله با آسیب پذیری FortiMail، جلوگیری از دسترسی اینترنت به Management Interface دستگاه است. مدیران می‌توانند دسترسی به رابط مدیریتی فورتی میل را از اینترنت مسدود و آن را فقط به یک شبکه خصوصی و مورد اعتماد محدود کنند. این اقدام به کاهش سطح حمله کمک می‌کند؛ به‌خصوص در محیط‌هایی که رابط مدیریت FortiMail نباید از شبکه‌های عمومی قابل دسترسی باشد.
چگونه بررسی کنیم FortiMail هک شده است؟
از آنجا که فورتی نت تأیید کرده آسیب پذیری FortiMail در حملات واقعی مورد سوءاستفاده قرار گرفته است، مدیران نباید بررسی را صرفاً به نصب راهکار موقت یا وصله محدود کنند. پژوهشگران Fortinet اطلاعاتی شامل فایل‌های مرتبط با حملات، آدرس‌های IP و نمونه‌هایی از Log Entryهای مرتبط را در سایت فورتی نت منتشر کرده‌اند. مدیران امنیت شبکه می‌توانند از این اطلاعات برای بررسی دستگاه‌های خود و شناسایی نشانه‌های احتمالی نفوذ استفاده کنند.
در صورتی که نشانه‌ای از compromise مشاهده شود، بهتر است دستگاه و لاگ‌های آن به‌صورت تخصصی بررسی شده و فرآیند Incident Response اجرا شود.
توصیه‌های امنیتی فالنیک برای کاربران FortiMail
متخصصان امنیت شبکه فالنیک به سازمان‌هایی که از FortiMail استفاده می‌کنند توصیه می‌کنند اقدامات زیر را در اولویت قرار دهند:
- نسخه FortiMail را بررسی و مشخص کنید آیا در محدوده آسیب‌پذیر قرار دارد یا خیر.
- تا زمان انتشار Patch، قابلیت IBE را طبق دستورالعمل Fortinet غیرفعال کنید.
- دسترسی اینترنتی به رابط مدیریت FortiMail را مسدود کرده یا آن را فقط به شبکه‌های مدیریتی مورد اعتماد محدود کنید.
- لاگ‌های FortiMail را با IOCهای منتشرشده توسط Fortinet تطبیق دهید.
- فایل‌ها و آدرس‌های IP مرتبط با حملات را برای شناسایی نشانه‌های نفوذ بررسی کنید.
- پس از انتشار نسخه‌های اصلاح‌شده، FortiMail را در سریع‌ترین زمان ممکن به نسخه مناسب ارتقا دهید.
- در صورت مشاهده نشانه‌های نفوذ، بررسی تخصصی Forensic و Incident Response را در دستور کار قرار دهید.
با توجه به اینکه آسیب پذیری FortiMail دارای امتیاز بالای CVSS 9.8 است و فورتی نت بهره‌برداری از آن را در حملات واقعی تأیید کرده است، توصیه می‌کنیم که فوراً اقدامات بالا را انجام دهید. همچنین کارشناسان ما آماده هستند تا در صورت نیاز شما به خدمات فوری امنیت شبکه، اقدامات لازم برای مقابله با این نقص را روی فورتی میل سازمان شما پیاده‌سازی کنند. برای ارتباط با کارشناسان فنی تیم امنیت شبکه فالنیک همین حالا با شماره 0218363 تماس بگیرید.
