O que é o zero-day do FortiMail (CVE-2026-104286)?
CVE-2026-104286 é uma vulnerabilidade crítica (CVSS 9.8) no Fortinet FortiMail, o gateway de e-mail seguro que muitas empresas colocam na frente de suas caixas de correio para filtrar phishing, malware e spam. Ela combina uma falha de path traversal com tratamento inadequado de bytes nulos e permite que um invasor não autenticado grave arquivos arbitrários no sistema subjacente com apenas uma requisição HTTP ou HTTPS manipulada. A Fortinet confirmou que a falha está sendo explorada ativamente, e a CISA a incluiu em seu catálogo de vulnerabilidades exploradas conhecidas em 1º de outubro de 2026, com prazo federal de correção até 4 de outubro.
Por que isso importa para toda empresa, e não só para clientes Fortinet? Um gateway de e-mail fica no ponto mais sensível da organização: vê todas as mensagens de entrada e saída, costuma guardar material criptográfico e é acessível pela internet por definição. Quem o controla pode ler e-mails, se passar por remetentes confiáveis e usar o equipamento como ponto de entrada na rede corporativa. A gravação arbitrária de arquivos em um dispositivo assim está a um passo da execução remota de código.
As versões afetadas são FortiMail 7.2.0 a 7.2.9, 7.4.0 a 7.4.8, 7.6.0 a 7.6.6 e 8.0.0 a 8.0.1. O ataque está ligado ao recurso de criptografia baseada em identidade (IBE). Para organizações que contam com um serviço gerenciado de cibersegurança com SOC, SIEM e MDR 24/7, esta é exatamente a emergência de dispositivo de borda que precisa ser detectada e contida em horas, não em semanas.
