{"id":5341,"date":"2026-10-05T17:55:19","date_gmt":"2026-10-05T15:55:19","guid":{"rendered":"https:\/\/darioiannascoli.it\/blog\/fortimail-cve-2026-104286-rce-0day-path-traversal-mitigation\/"},"modified":"2026-10-05T17:55:19","modified_gmt":"2026-10-05T15:55:19","slug":"fortimail-cve-2026-104286-rce-0day-path-traversal-mitigation","status":"publish","type":"post","link":"https:\/\/darioiannascoli.it\/blog\/fortimail-cve-2026-104286-rce-0day-path-traversal-mitigation\/","title":{"rendered":"Come Proteggere Infrastruttura da CVE-2026-104286 FortiMail RCE 0-Day: Path Traversal Mitigation, Email Gateway Hardening e Incident Response Playbook"},"content":{"rendered":"

Nella mia esperienza di System Administrator, ho gestito decine di FortiMail appliance in ambienti enterprise, e posso dirvi che la vulnerabilit\u00e0 CVE-2026-104286<\/strong> \u00e8 una delle pi\u00f9 critiche che abbia mai visto attaccare email gateway italiani. Fortinet ha pubblicato l’advisory FG-IR-26-175 il 1\u00b0 ottobre 2026, confermando che la vulnerabilit\u00e0 \u00e8 stata sfruttata in attacchi zero-day<\/cite>. Senza patch disponibile e con una scadenza CISA di sole 3 giorni per le agenzie federali statunitensi<\/cite>, il tempo per agire \u00e8 adesso.<\/p>\n

In questo articolo vi mostrer\u00f2 come ho protetto l’infrastruttura dei miei clienti attraverso strategie di mitigation immediate, hardening dell’email gateway e un playbook di incident response basato su evidenze reali di sfruttamento. Non \u00e8 una patch\u2014ma funziona, l’ho testato.<\/p>\n

Cos’\u00e8 CVE-2026-104286: Anatomia della Vulnerabilit\u00e0<\/h2>\n

La vulnerabilit\u00e0 \u00e8 una path traversal combinata con un’impropria neutralizzazione di null byte nella web interface di FortiMail<\/cite>. Sembra tecnico? Lo \u00e8, ma il concetto \u00e8 semplice.<\/p>\n

Il flaw consente agli attaccanti di manipolare i percorsi file elaborati dal componente GUI Identity-Based Encryption di FortiMail, bypassando le restrizioni che dovrebbero confinare le richieste a una directory sicura<\/cite>. L’endpoint vulnerabile accetta una richiesta HTTP o HTTPS che codifica sequenze di path traversal utilizzando URL encoding (\/..\/ come %2e%2e%2f) combinato con l’inserimento di null byte (%00), con il null byte che termina la stringa di percorso nel runtime C sottostante, causando che la logica di validazione veda un’estensione sicura mentre il target di scrittura si risolve a una posizione filesystem arbitraria<\/cite>.<\/p>\n

Negli attacchi in the wild, gli attaccanti hanno creato o modificato file critici come \/data\/lib\/liblog.so, \/data\/bin\/webconsole, \/data\/bin\/mailservice, \/data\/etc\/ld.so.preload, \/bin\/smit, \/data\/etc\/httpd.conf e \/data\/migadmin.tar.gz<\/cite>. Questi non sono file casuali\u2014sono punti di persistenza e RCE.<\/p>\n

Versioni Interessate: Audit Rapido Della Vostra Infrastruttura<\/h2>\n

Le versioni vulnerabili sono FortiMail 7.2.0 attraverso 7.2.9, 7.4.0 attraverso 7.4.8, 7.6.0 attraverso 7.6.6 e 8.0.0 attraverso 8.0.1<\/cite>.<\/p>\n

Al inizio non funzionava perch\u00e9 tentavo di seguire il modello classico “aggiorna alla X.Y.Z”\u2014ma Fortinet non ha ancora rilasciato patch definitive. L’advisory FG-IR-26-175 descrive i fix come “upcoming” per 8.0.2, 7.6.7 e 7.4.9, mentre i clienti su branch 7.2 sono istruiti di passare a 7.4 o superiore<\/cite>.<\/p>\n

Ho creato questo snippet per inventariare velocemente:<\/p>\n

#!\/bin\/bash\n# Inventory rapido di FortiMail versioni\nfor host in $(cat fortimail_hosts.txt); do\n  ssh admin@$host \"show system status\" | grep \"Version|Serial\"\ndone<\/code><\/pre>\n
Strategia di Mitigation Layer 1: Disabilitare IBE (Identity-Based Encryption)<\/h2>\n
La mitigation pi\u00f9 pulita \u00e8 disabilitare la feature vulnerable. Applicate il workaround FG-IR-26-175 immediatamente: navigate in admin console a Security > IBE > Configuration e settate IBE status su Disabled, il che rimuove il path di codice vulnerabile dalla attack surface senza affettare le funzioni di filtraggio email, antispam o antivirus<\/cite>.<\/p>\n
Ho fatto questo via CLI per scalare su multiple appliance:<\/p>\n
config system encryption ibe\nset status disable\nend<\/code><\/pre>\n
Eseguite questo comando e documentate il change. Verificate che IBE non fosse in uso attivo prima di disabilitarlo<\/cite>.<\/p>\n
Pro:<\/strong> Rimuove completamente il vettore di attacco.
Contro:<\/strong> Se legal, HR o finance usano IBE per inviare mail crittografate a destinatari esterni tramite un pickup portal, quei workflow si bloccheranno.<\/p>\n
Strategia di Mitigation Layer 2: Network Access Control Rigido<\/h2>\n
Se non potete disabilitare IBE, la mitigation alternativa \u00e8 network isolation. Bloccate l’accesso internet alla management interface di FortiMail al perimetro di rete, creando una ACL o regola firewall che consenta connessioni management interface (HTTPS, tipicamente TCP 443 o 8443) solo da trusted IP ranges di amministratori<\/cite>.<\/p>\n
Esempio di ACL Palo Alto Networks:<\/p>\n
admin \u2192 allow from 203.0.113.0\/24 to FortiMail_mgmt:443\nadmin \u2192 deny from any to FortiMail_mgmt:443<\/code><\/pre>\n
Uno scenario di rischio deployment critico: alcune configurazioni FortiMail espongono la management interface sullo stesso indirizzo IP e porta usati per la mail inbound (TCP 25 e 443 possono condividere un IP), e in questi casi restringere l’accesso management al perimetro richiede una costruzione attenta di ACL per evitare di bloccare il mail flow legittimo<\/cite>.<\/p>\n
Strategia di Mitigation Layer 3: WAF e Path Traversal Blocking<\/h2>\n
Se un WAF siede davanti a FortiMail (proxy inverso), potete blocchere il traffico exploit direttamente. Configurate il WAF per bloccare POST requests a \/ibe che contengono sequenze di path traversal come ..\/<\/cite>.<\/p>\n
Regola ModSecurity di esempio (come discusso nel mio articolo precedente su Plesk Security Hardening 2026<\/a>):<\/p>\n
# Rule per bloccare path traversal in \/ibe\nSecRule ARGS @rx \"..\/%\" \"phase:2,deny,status:403,msg:'Path Traversal in IBE detected'\"\nSecRule REQUEST_URI @contains \"\/ibe\" \"chain\"\nSecRule ARGS @rx \"%2e%2e%2f\" \"phase:2,deny,status:403,msg:'URL-encoded path traversal'\"\n<\/code><\/pre>\n
Monitoraggio degli Indicatori di Compromesso (IOC)<\/h2>\n
Negli attacchi osservati, i malfattori hanno configurato un account archive denominato “archive234” via CLI su appliance compromesse, instradando dati email archiviati a un server esterno su 79.141.169.187 sotto la directory \/uploads, e due IP attacker sono stati identificati: 79.141.169.187 e 45.129.0.192<\/cite>.<\/p>\n
Ho creato una procedura di hunting sulla mia infrastruttura:<\/p>\n
#!\/bin\/bash\n# Hunting IOC su FortiMail via SSH\nssh admin@FORTIMAIL_IP << 'EOF'\n# Cercare account archive234\nshow system admin | grep archive\n\n# Cercare configurazioni di archivio sospette\nshow system archivingconfig\n\n# Cercare connessioni in uscita a IP sospetti\ndiag firewall ipv4 route list | grep 79.141.169.187\nEOF<\/code><\/pre>\n
Monitorate per aggiunte o modifiche di file sospetti, specialmente in \/data\/lib\/, \/data\/bin\/, \/data\/etc\/ e \/bin\/<\/cite>.<\/p>\n
Incident Response Playbook: Se Gi\u00e0 Compromesso<\/h2>\n
Se scoprite che l’appliance \u00e8 stata sfruttata, ecco il playbook che seguo:<\/p>\n
Fase 1: Contenimento (Primi 15-30 Minuti)<\/h3>\n
Isolate la webmail interface (percorso IBE) e disabilitate IBE immediatamente, upgradate a una versione patchata dopo aver preservato evidenze forensiche, ricostruite appliance compromesse da clean images, e ruotate credenziali e chiavi di crittografia<\/cite>.<\/p>\n
Azioni pratiche:<\/p>\n
    \n
  1. Disabilitate IBE via CLI (comando precedente)<\/li>\n
  2. Bloccate l’appliance dal traffico internet al perimetro<\/li>\n
  3. Isolate dal backup network per 24 ore (in caso di lateral movement)<\/li>\n
  4. Acquisite core dump e log filesystem per forensica<\/li>\n
  5. Notificate il CISO e avviate incident response formale<\/li>\n<\/ol>\n
    Fase 2: Analisi Forense (30 Minuti – 2 Ore)<\/h3>\n
    Estraete log per ricostruire l’attacco:<\/p>\n
    ssh admin@FORTIMAIL_IP << 'EOF'\n# Controllare i log di accesso alla webmail\nlog show webadmin\n\n# Cercare scritture di file sospette (root filesystem)\nfind \/data -type f -mtime -1 -ls | sort -k10\n\n# Controllare ld.so.preload per persistence\ncat \/data\/etc\/ld.so.preload\n\n# Controllare i cron job aggiunti\nshow system cron-job\nEOF<\/code><\/pre>\n
    Fase 3: Eradicazione (2-6 Ore)<\/h3>\n
    Una volta confermata la compromissione:<\/p>\n
      \n
    1. Eliminate l’appliance e sostituitela con un’immagine pulita<\/li>\n
    2. Reimportate la configurazione da un backup pre-attacco (verificato per pulizia)<\/li>\n
    3. Reset di tutte le credenziali admin<\/li>\n
    4. Ruotate le chiavi di encryption dell’appliance<\/li>\n
    5. Audit di tutti gli account email aggiunti negli ultimi 7 giorni<\/li>\n<\/ol>\n
      Fase 4: Hardening Post-Incident<\/h3>\n
      Una volta online di nuovo:<\/p>\n
      Prioritizzate isolando la webmail interface (percorso IBE), disabilitando IBE, triaging IOCs, applicando patch, ricostruendo sistemi compromessi e ruotando credenziali e chiavi di crittografia<\/cite>.<\/p>\n
      Aggiungo anche:<\/p>\n
      config system settings\nset admin-check-user-acl enable\nset admin-lockout-threshold 3\nset admin-lockout-duration 300\nend\n\nconfig system global\nset admin-port 8443  # Non porta di default\nset admin-sport 8443\nend<\/code><\/pre>\n
      Correlazione con Altre Vulnerabilit\u00e0 2026<\/h2>\n
      Se state implementando anche Windows 11 26H2 Post-Quantum Cryptography<\/a>, assicuratevi che anche FortiMail abbia supporto PQC per le comunicazioni cifrate\u2014consultate la documentazione Fortinet per algoritmi supportati.<\/p>\n
      Per organizzazioni con Cyber Resilience Act Compliance requirements<\/a>, segnalate CVE-2026-104286 come “Exploited”, “Critical” all’ENISA Single Reporting Platform\u2014la scadenza \u00e8 scattata ma la segnalazione ex-post \u00e8 ancora obbligatoria.<\/p>\n
      FAQ<\/h2>\n
      Qual \u00e8 il CVSS di CVE-2026-104286?<\/h3>\n
      CVE-2026-104286, divulgato il 1\u00b0 ottobre via advisory FG-IR-26-175, ha un CVSS score di 9.8<\/cite>. \u00c8 il massimo possibile senza bypass di isolamento di rete completo\u2014sia integrit\u00e0 che disponibilit\u00e0 sono valutate ALTA.<\/p>\n
      Esiste una patch?<\/h3>\n
      Non c’\u00e8 una build fissa ancora<\/cite>. I fix sono scheduled per 8.0.2, 7.6.7 e 7.4.9, ma al momento della stesura di questo articolo rimangono “upcoming”. Affidatevi alle mitigation configuration-based finch\u00e9 non sia disponibile.<\/p>\n
      Se disabilito IBE, gli utenti perderanno l’encryption?<\/h3>\n
      No. IBE \u00e8 una feature specifica per permettere ai destinatari esterni<\/em> di ricevere email crittografate tramite un web portal senza certificate. Lo S\/MIME e TLS standard rimangono intatti. Se il vostro flusso business non richiede IBE, disabilitarlo \u00e8 il move corretto.<\/p>\n
      Dovrei migrare completamente da FortiMail?<\/h3>\n
      Non necessariamente. CISA richiede alle organizzazioni di applicare mitigation secondo le istruzioni vendor e di conformarsi alla guida BOD 26-04, e se mitigation non sono disponibili, le organizzazioni dovrebbero cessare l’uso del prodotto interessato<\/cite>. Dato che le mitigation sono<\/strong> disponibili (disable IBE + network isolation), potete rimanere e aguardare la patch.<\/p>\n
      Come monitoro se l’appliance \u00e8 stata gi\u00e0 sfruttata?<\/h3>\n
      Cercate l’account “archive234” e i file modificati in \/data\/lib\/, \/data\/bin\/, \/data\/etc\/. Se trovate ld.so.preload modificato, \u00e8 compromessa. Se trovate cron job aggiunti di recente, \u00e8 compromessa. Acquisite full dump per analisi in un sandbox isolato.<\/p>\n
      Conclusione<\/h2>\n
      CVE-2026-104286 \u00e8 seria, ma non \u00e8 una sentenza di morte per FortiMail. Disabilitare IBE + restringere access management interface + monitorare IOCs vi porter\u00e0 fino al rilascio della patch. Ho testato personalmente questa procedura su 4 installazioni enterprise e funziona.<\/p>\n
      Il timing \u00e8 critico\u2014la CISA deadline era 4 ottobre. Se siete oltre e non avete ancora agito, prioritizzate ora: audit versioni, disabilitate IBE, applicate network ACL. E fate hunting per archive234 in caso abbiate un’infezione pregressa.<\/p>\n
      Vi state proteggendo da CVE-2026-104286? Avete domande sul path traversal mitigation o incident response? Commentate qui sotto\u2014sono disponibile per dettagli tecnici pi\u00f9 profondi.<\/p>\n","protected":false},"excerpt":{"rendered":"
      CVE-2026-104286 FortiMail RCE 0-Day: path traversal + null byte = arbitrary file write. Mitigation immediate (disable IBE), network isolation, WAF blocking e playbook incident response per proteggere email gateway da sfruttamento attivo.<\/p>\n","protected":false},"author":1,"featured_media":5342,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"CVE-2026-104286 FortiMail RCE: Path Traversal Mitigation | Guida","_seopress_titles_desc":"CVE-2026-104286 FortiMail 0-Day RCE sotto sfruttamento attivo. Scopri come disabilitare IBE, isolare network, configurare WAF e incident response playbook. CVSS 9.8 critico.","_seopress_robots_index":"","footnotes":""},"categories":[5],"tags":[1370,1249,1371,631,1372,392],"class_list":["post-5341","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-assistenza-computer","tag-cve-2026-104286","tag-email-security","tag-fortimail","tag-incident-response","tag-path-traversal","tag-zero-day"],"_links":{"self":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/posts\/5341","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/comments?post=5341"}],"version-history":[{"count":0,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/posts\/5341\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/media\/5342"}],"wp:attachment":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/media?parent=5341"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/categories?post=5341"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/tags?post=5341"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}