A Fortinet publicou, em 1º de outubro de 2026, o boletim de segurança FG-IR-26-175, confirmando uma vulnerabilidade crítica (CVSS 9.8) no FortiMail, sua solução de segurança de e-mail: a CVE-2026-104286, uma falha de path traversal combinada com tratamento inadequado de caracteres NULL na interface de gerenciamento. Segundo a Fortinet, a falha permite que um atacante não autenticado grave arquivos arbitrários no sistema por meio de requisições HTTP ou HTTPS especialmente manipuladas — e a empresa confirma que a vulnerabilidade já está sendo explorada ativamente (actively exploited in the wild). A CISA incluiu o CVE-2026-104286 no catálogo KEV (Known Exploited Vulnerabilities) em 1º de outubro de 2026, com prazo de remediação para agências federais americanas até 3 de outubro.
As versões afetadas são FortiMail 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8 e 7.2.0 a 7.2.9.
Por que isso importa para uma PME brasileira: o FortiMail é usado por empresas de todos os portes para filtrar spam, phishing e malware no e-mail corporativo — muitas vezes como gateway voltado diretamente para a internet, o que o torna um alvo de varredura constante. Como a falha não exige nenhuma credencial, um atacante só precisa encontrar a interface de gerenciamento exposta para gravar arquivos no servidor, abrindo caminho para execução de código, criação de contas administrativas falsas ou instalação de backdoors — o que pode comprometer todo o fluxo de e-mail da empresa, incluindo mensagens sigilosas de clientes, contratos e dados financeiros.
O que fazer agora: atualize o FortiMail imediatamente: a Fortinet recomenda a versão 8.0.2 ou superior (ramo 8.0), 7.6.7 ou superior (ramo 7.6), 7.4.9 ou superior (ramo 7.4), ou migrar para o ramo 7.4 ou superior (quem está no 7.2). Até aplicar a atualização, a Fortinet recomenda desativar o recurso IBE (via comando "config system encryption ibe" / "set status disable") ou restringir o acesso à interface de gerenciamento apenas a redes confiáveis — nunca deixá-la exposta diretamente à internet. Revise também se há arquivos inesperados no sistema, sinal de exploração anterior à correção.
Fonte primária: boletim de segurança da Fortinet (FG-IR-26-175), confirmado no catálogo KEV da CISA em 01/10/2026.
