FortiMail açığı CVE-2026-104286 bir dosya okuma traversal'ı değil, kimlik doğrulaması gerektirmeyen bir dosya yazma açığı

Hata

Fortinet, e-posta güvenlik geçidi FortiMail'de, kimlik doğrulaması yapmayan bir saldırganın özel olarak hazırlanmış HTTP veya HTTPS istekleriyle cihaz üzerinde dosya oluşturmasına olanak tanıyan kritik bir açık duyurdu. CVE-2026-104286 olarak takip edilen güvenlik açığı, Fortinet tarafından FG-IR-26-175 danışma belgesi kapsamında 9.8 CVSS 3.1 temel puanıyla yayınlandı. Danışma belgesine ilişkin bir dev.to analizine göre CISA, açığı 1 Ekim 2026'da Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi; bu da saldırganların açığı zaten kullandığının bir sinyali.

Yazıda etkilenen sürümler FortiMail 8.0.0 ile 8.0.1 arası, 7.6.0 ile 7.6.6 arası, 7.4.0 ile 7.4.8 arası ve 7.2.0 ile 7.2.9 arası olarak listeleniyor.

Yazma yapan bir traversal

Path traversal duyurularının çoğu okuma sorunudur: saldırgan hedeflenen dizinin dışına çıkıp asla sunulmaması gereken, çoğu zaman bir yapılandırma dosyası olan bir dosyayı okur. dev.to yazarının da belirttiği gibi, Fortinet'in kendi açıklaması bunu farklı çerçevelendiriyor. Burada saldırgan dosyaları okumak yerine yazıyor ve bunu yapmak için hiçbir yönetici kimlik bilgisi, oturum çerezi ya da geçerli bir posta kutusu gerektirmiyor.

Bu ayrım etki alanını şekillendiriyor. Bir posta geçidi, doğası gereği ağ kenarında yer alır; internetten gelen bağlantıları kabul etmek zorunda olan bir SMTP dinleyicisi, bir web yönetim konsolu ve çoğu zaman yardım masası personelinin kullandığı karantina ya da mesaj izleme görünümleri bulunur. Ayrıca posta kuyruğunun kendisini de barındırır: mesaj gövdeleri, ekler, başlıklar ve kimin kiminle iletişim kurduğunu gösteren zarf üst verileri. Böyle bir sistemdeki rastgele bir dosya yazma işlemi, içeriği bir web sunucusunun hizmet verdiği bir yere, zamanlanmış bir görevin devraldığı bir yere ya da bir yapılandırma yükleyicisinin okuduğu bir yere yerleştirebilir; ancak danışma belgesi bu konumlardan hangilerine gerçekte erişilebildiğini söylemiyor.

Doğrulanmış ve doğrulanmamış olanlar

Fortinet'in danışma belgesi açığın temel sisteme rastgele dosyalar yazılmasına izin verebileceğini söylüyor. Bunun ardından uzaktan kod yürütmenin geleceğini belirtmiyor ve dev.to analizi, kamuya açık bazı özetlerin tam olarak bu çizgiyi bulanıklaştırdığı konusunda uyarıyor. Rastgele bir yazma işleminin etkisi, tamamen yazmanın nereye düştüğüne, dağıtıma, yazılım dalına ve isteği işleyen arka plan programının dosya sistemi izinlerine bağlıdır. Bir danışma belgesi ya da yeniden üretilebilir bir kamuya açık analiz erişilebilir yolları adlandırmadan, kod yürütme kanıtlanmış bir sonuç değil, laboratuvarda test edilmesi gereken bir hipotez olarak ele alınmalıdır.

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H olan CVSS vektörü, ayrıcalık ve kullanıcı etkileşimi gerektirmeyen, cihazın kendi kapsamı içinde gizlilik, bütünlük ve kullanılabilirlik üzerinde yüksek etkili, ağdan erişilebilen bir açığı tanımlıyor. dev.to yazarı, bunun cihaz üzerinden akan postanın değil, satıcının cihaza ilişkin değerlendirmesi olduğuna dikkat çekiyor.

Önerilen adımlar

Yazı birkaç eylem öneriyor:

• Sürümünüzü, etkilenen yapıları güvenli olanlar yerine işaretleyen NVD kaydındaki sürüm aralıklarına güvenmek yerine, FG-IR-26-175'te adı geçen düzeltilmiş sürümlerle karşılaştırarak doğrulayın. Uzun vadeli bir daldan en yeni özellik sürümüne geçmek bir yama değil, bir değişiklik yönetimi kararıdır.
• Yükseltme planlanırken yönetim arayüzlerini herkese açık internet erişiminden kaldırın. Açık internette yanıt veren bir web konsolu bu CVE'den önce de risk taşıyordu, şimdi daha fazlasını taşıyor.
• Önceden kullanıma dair kanıt arayın. Web sunucusu günlüklerinde istek yollarındaki traversal kalıplarını aramak makul bir ilk adımdır; ancak çalışan bir yüke sahip bir saldırganın traversal'ı tekrarlaması için bir nedeni olmaz. Dosya değişiklik zamanlarını web kökünde, cron dizinlerinde ve başlangıç betiklerinde bilinen bir temel çizgiyle karşılaştırın ve web kullanıcısının yazma hakkının olmadığı bir dizinde oluşturduğu her dosyayı eksiksiz inceleyin.
• Açıkta kalmış herhangi bir cihazda posta kuyruğunun bütünlüğünden şüphelenin, çünkü mesaj içeriklerinin kullanıcıların gerçekte gönderdiğiyle eşleştiği artık varsayılamaz.

Neden önemli

İnternete bakan bir uç cihazdaki kimlik doğrulaması gerektirmeyen bir yazma yeteneği, danışma belgelerine hâkim olan dosya okuma traversal'larından ciddi biçimde daha kötü bir sorundur; çünkü sonuç, diskte hangi dosyaların bulunduğuna değil, saldırganın yaratıcılığına bağlıdır. CISA listesi, yamayı rutin bakım değil acil temizlik haline getiriyor. Ve dev.to yazısındaki daha geniş gözlem FortiMail'in ötesinde de geçerli: uç cihazlar zamanla, çoğu zaman olaylar veya destek oturumları sırasında sessizce, açıkta kalan arayüzler biriktirir. Açığın kendisi Fortinet'in onarması gereken bir şeydir; konsolu açık internetten uzak tutmak ise operatörün işidir.