CVE-2026-104286: Vulnerabilidad crítica de path traversal en FortiMail

Qué es la vulnerabilidad

CVE-2026-104286 es una vulnerabilidad de tipo path traversal (CWE-22: Improper Limitation of a Pathname to a Restricted Directory) identificada en el producto FortiMail de Fortinet. Esta clase de fallo se produce cuando la aplicación no valida ni restringe adecuadamente las rutas de archivo proporcionadas por el usuario, lo que permite a un atacante salir del directorio previsto y acceder a otras ubicaciones del sistema de archivos.

En este caso concreto, la debilidad permite a un atacante no autenticado escribir archivos arbitrarios en el sistema subyacente. El vector de ataque es remoto y se materializa mediante peticiones HTTP o HTTPS especialmente manipuladas. La ausencia de requisitos de autenticación eleva significativamente la gravedad, ya que cualquier equipo con acceso de red al servicio FortiMail podría intentar explotar la falla.

La escritura de archivos arbitrarios en un sistema es un paso previo habitual en cadenas de ataque más complejas. Dependiendo de los permisos del proceso afectado y de la ubicación donde se escriban los archivos, un atacante podría lograr la ejecución remota de código, la modificación de configuración o la persistencia en el sistema. La puntuación CVSS de 9.8 refleja el impacto total en la confidencialidad, integridad y disponibilidad del sistema.

El aviso oficial del fabricante se referencia como FG-IR-26-175 y está disponible en el portal de PSIRT de Fortinet. La vulnerabilidad ha sido incluida en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, lo que indica que existe un interés activo por parte de actores maliciosos y que la explotación podría producirse en entornos reales.

Es importante señalar que la descripción técnica proporcionada por NVD y CVE.org es consistente: ambas fuentes coinciden en la naturaleza del fallo, las versiones afectadas y el vector de ataque. No se han publicado detalles técnicos adicionales sobre la explotación en las fuentes consultadas.

Dada la criticidad de la vulnerabilidad y su potencial de explotación remota sin autenticación, se recomienda encarecidamente a los administradores de sistemas que ejecuten FortiMail que evalúen su exposición y apliquen las actualizaciones disponibles lo antes posible. En las siguientes secciones se detallan los productos afectados, el impacto y las medidas de mitigación recomendadas.

Productos y versiones vulnerables

La vulnerabilidad afecta a las siguientes versiones de Fortinet FortiMail, según los datos publicados por CVE.org y NVD:

Además, la información de CVE.org incluye la rama 7.0.0 a 7.0.9 como afectada, aunque no aparece en la descripción principal de NVD. Se recomienda considerar también esa serie como vulnerable hasta confirmación oficial.

No se han publicado versiones corregidas específicas en las fuentes consultadas. Para obtener la lista exacta de parches y versiones remediadas, consulte el aviso oficial de Fortinet PSIRT (FG-IR-26-175).

Impacto y riesgo

La vulnerabilidad, clasificada como path traversal (CWE-22), permite a un atacante no autenticado escribir archivos arbitrarios en el sistema subyacente mediante peticiones HTTP o HTTPS manipuladas. La puntuación CVSS v3.1 es de 9.8 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Esto implica:

• Confidencialidad alta: el atacante podría leer archivos sensibles del sistema.
• Integridad alta: podría modificar o sobrescribir archivos críticos.
• Disponibilidad alta: podría provocar denegación de servicio o comprometer el servicio de correo.

Al no requerir autenticación ni interacción del usuario, el riesgo de explotación remota es elevado, especialmente en entornos donde FortiMail esté expuesto a Internet. La escritura de archivos arbitrarios en el sistema subyacente puede derivar en ejecución de código, persistencia o escalada de privilegios, dependiendo de los permisos del servicio.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no confirman explícitamente que exista explotación activa en entornos reales. Sin embargo, la referencia a la base de datos de vulnerabilidades explotadas conocidas (KEV) de CISA incluida en el contexto sugiere que el CVE podría estar siendo vigilado o catalogado por dicha agencia. No se debe afirmar explotación pública sin confirmación adicional.

Se recomienda monitorizar el aviso de Fortinet y la lista KEV de CISA para detectar cambios en el estado de explotación.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. Por tanto, no se dispone de IOC publicados para esta vulnerabilidad. No deben inventarse indicadores ni patrones de detección sin respaldo oficial.

Se recomienda revisar los registros de acceso HTTP/HTTPS de FortiMail en busca de peticiones anómalas que incluyan secuencias de traversal (por ejemplo, ../), así como monitorizar la integridad de archivos del sistema.

Cómo comprobar si estás afectado

Para determinar si tu infraestructura es vulnerable a CVE-2026-104286, debes verificar la versión exacta de FortiMail que tienes desplegada. Según los datos publicados por CVE.org y NVD, las versiones afectadas son:

Para conocer la versión instalada, consulta la interfaz de administración de tu appliance o el documento de soporte oficial de Fortinet. No se publican comandos específicos de verificación en las fuentes consultadas.

Además, ten en cuenta que el vector CVSS es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que la vulnerabilidad es explotable de forma remota sin autenticación previa. Si tu FortiMail está expuesto a Internet o accesible desde redes no confiables, el riesgo es especialmente alto.

Mitigación y actualización

La acción principal recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. El boletín de Fortinet PSIRT FG-IR-26-175 es la referencia canónica para este problema.

Las fuentes consultadas no publican versiones corregidas específicas ni parches concretos. Por tanto, debes consultar directamente el aviso de Fortinet para obtener la información de actualización más precisa y actualizada.

Mientras tanto, considera las siguientes medidas generales de mitigación:

• Restringir el acceso a la interfaz de administración y a los servicios HTTP/HTTPS de FortiMail únicamente a redes internas confiables.
• Implementar reglas de firewall o listas de control de acceso (ACL) para limitar el tráfico entrante hacia el appliance.
• Monitorizar los registros de acceso y eventos del sistema en busca de actividad sospechosa, especialmente peticiones HTTP/HTTPS anómalas.
• Revisar periódicamente el portal de PSIRT de Fortinet para detectar nuevas actualizaciones o avisos complementarios.

Nota importante: Dado que la vulnerabilidad permite a un atacante no autenticado escribir archivos arbitrarios en el sistema subyacente, la exposición prolongada sin parchear supone un riesgo crítico de compromiso total del equipo.

Checklist para administradores

• ☐ Identificar todas las instancias de FortiMail en la organización y sus versiones exactas.
• ☐ Confirmar si alguna versión está dentro de los rangos afectados publicados.
• ☐ Consultar el aviso oficial FG-IR-26-175 en el portal de Fortinet PSIRT.
• ☐ Verificar si el fabricante ha publicado una versión corregida o un parche de emergencia.
• ☐ Aplicar la actualización correspondiente en un entorno de pruebas antes de desplegarla en producción.
• ☐ Revisar las reglas de firewall y segmentación de red para limitar la exposición del servicio.
• ☐ Habilitar la monitorización de registros y alertas para detectar intentos de explotación.
• ☐ Documentar el incidente y las acciones tomadas para futuras auditorías.

Preguntas frecuentes

¿Qué es CVE-2026-104286?

Es una vulnerabilidad de tipo path traversal (CWE-22) en Fortinet FortiMail que permite a un atacante no autenticado escribir archivos arbitrarios en el sistema subyacente mediante peticiones HTTP o HTTPS manipuladas.

¿Qué versión de FortiMail está afectada?

Las ramas 8.0.x, 7.6.x, 7.4.x, 7.2.x y 7.0.x en los rangos indicados en la tabla anterior. Consulta el aviso oficial para conocer la lista completa y actualizada.

¿La vulnerabilidad es explotable de forma remota?

Sí. El vector CVSS es AV:N/AC:L/PR:N/UI:N, lo que significa que un atacante remoto puede explotarla sin necesidad de credenciales ni interacción del usuario.

¿Existe algún exploit público disponible?

Las fuentes consultadas no publican información sobre exploits públicos ni código de prueba. No se debe asumir su existencia ni su ausencia.

¿Qué debo hacer si mi versión está afectada?

Aplica la actualización o mitigación publicada por Fortinet en el aviso FG-IR-26-175. Mientras tanto, restringe el acceso al servicio y monitoriza la actividad sospechosa.

¿Dónde puedo encontrar más información?

En el aviso oficial de Fortinet PSIRT y en el catálogo de vulnerabilidades conocidas explotadas de CISA. Los enlaces están disponibles en la sección de fuentes oficiales.