Propust CVE-2026-104286 omogućuje udaljenom napadaču da zapisuje datoteke na ranjivom FortiMail uređaju bez prijave. Fortinet je 1. listopada objavio da je ranjivost već iskorištavana.
Greška spaja neispravnu obradu putanje datoteke i posebnog znaka koji označava kraj niza. Uređaj zato može zapisati podatke izvan predviđenog mjesta. FortiMail služi zaštiti e-pošte, ali ovdje zahtjev napada sam uređaj.
Listopadski zapis navodi ispravke u verzijama 7.4.9, 7.6.7 i 8.0.2. Za starije grane vrijede različite upute, pa treba provjeriti točnu verziju u Fortinetovoj tablici. Za FortiMail Cloud proizvođač je prijavio sanaciju 5. listopada.
CISA je ranjivost uvrstila u katalog iskorištavanih propusta istoga dana kada je objavljena. Taj unos potvrđuje dokaze o napadima, ali ne govori koliko je korisnika pogođeno. Nadogradnja zatvara put napada, dok zasebna istraga utvrđuje je li uređaj prije toga kompromitiran.
