Fiche CVE · CVE-2026-104286
Une vulnérabilité de type traversée de répertoire combinée à une mauvaise neutralisation de l'octet NULL touche l'interface web de FortiMail. Elle permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système via des requêtes HTTP ou HTTPS forgées. Fortinet la classe critique (CVSSv3 9,8) et indique qu'elle a été signalée comme exploitée dans la nature. La CISA l'a ajoutée à son catalogue KEV le 1er octobre 2026.
Synthèse Cyberiack, faits vérifiés sur les sources primaires.
Fortinet alerte sur une faille de FortiMail notée 9,8/10, exploitée avant tout correctif. Les versions corrigées sont désormais disponibles sur toutes les branches maintenues : voici les branches touchées, le contournement à appliquer et les indicateurs de compromission.
La faille, notée 9,8 sur 10, ne demande ni mot de passe ni compte dès que l'analyse des pièces jointes est activée. Le correctif s'installe sans redémarrage : comment savoir si vous êtes exposé.
CERTFR-2026-AVI-1257