Cisco Secure Email Gateway et FortiMail : deux passerelles de messagerie avec des zero-days exploités en octobre

Publié le 15 octobre 2026 · L'équipe mitza.es

Octobre 2026 a apporté deux zero-days critiques dans des passerelles de sécurité de messagerie, les équipements qui filtrent le courrier avant qu'il n'arrive chez vos utilisateurs. Fortinet a confirmé le 1er octobre l'exploitation de CVE-2026-104286 dans FortiMail, et Cisco a alerté à la mi-mois, avec un avis de la CISA du 14 octobre, sur celle de CVE-2026-76519 dans Secure Email Gateway. Les deux obtiennent un score CVSS de 9,8, ne nécessitent aucune authentification et figurent dans le catalogue des vulnérabilités exploitées de la CISA.

Cisco Secure Email Gateway : CVE-2026-76519

Il s'agit d'une faille de traversée de chemin relative dans la fonction Advanced Malware Protection. Un attaquant distant non authentifié peut envoyer un e-mail avec une pièce jointe malveillante à travers l'équipement concerné, écrire des fichiers arbitraires et exécuter des commandes avec les privilèges root. Elle touche les appliances physiques et virtuelles, mais seulement si deux conditions sont réunies en même temps : File Reputation est activé et associé à une politique de messagerie, et Content Scanner Tools est antérieur à la version 25.3.0.5525.

• Correctif : mettre à jour Content Scanner Tools vers la version 25.3.0.5525 ou ultérieure. Cisco indique qu'il n'existe pas de mesure d'atténuation alternative et, selon plusieurs analyses, la mise à jour n'exige ni mise à niveau complète du système ni redémarrage.
• Comment vérifier : la commande contentscannerstatus affiche la version installée et contentscannerupdate force la mise à jour si les mises à jour automatiques sont désactivées.
• Exploitation : Cisco en a eu connaissance en octobre. L'éditeur n'a pas dit combien d'équipements ont été touchés ni ce que les attaquants ont fait ; l'une des sources indique qu'il a détecté une activité malveillante sur certains équipements Secure Email Cloud et a contacté directement ses clients. La CISA a donné aux agences fédérales jusqu'au 17 octobre.

C'est le deuxième zero-day sur ce produit en deux mois : celui de septembre, CVE-2026-76461, était une injection SQL dans l'analyse des e-mails que Cisco a divulguée le 14 septembre. Comme les attaquants agissent avec les privilèges root, une analyse locale propre ne suffit pas pour écarter l'hypothèse qu'un équipement soit déjà compromis.

Fortinet FortiMail : CVE-2026-104286

Elle combine une traversée de chemin avec le traitement incorrect d'un caractère nul dans le service de chiffrement basé sur l'identité (IBE), sur le point d'accès /ibe. Un attaquant non authentifié peut écrire des fichiers arbitraires sur le système au moyen de requêtes HTTP ou HTTPS falsifiées. Fortinet l'a divulguée le 1er octobre (avis FG-IR-26-175) et la CISA l'a ajoutée le jour même à son catalogue, avec une échéance au 4 octobre.

• Versions concernées : 7.2.0 à 7.2.9, 7.4.0 à 7.4.8, 7.6.0 à 7.6.6 et 8.0.0 à 8.0.1.
• Correctif : dans l'avis initial, les versions corrigées, 8.0.2, 7.6.7 et 7.4.9, étaient prévues mais pas encore publiées, et il était recommandé aux utilisateurs de la branche 7.2 de passer à la 7.4 ou à une version supérieure. Une alerte de l'agence de Singapour datée du 6 octobre indique que Fortinet a déjà publié des mises à jour sans préciser les versions ; il convient donc de consulter l'état actuel dans l'avis FG-IR-26-175.
• Atténuation en attendant : désactiver IBE en ligne de commande (config system encryption ibe, set status disable, end) et bloquer l'accès depuis Internet à l'interface d'administration ou le limiter à un réseau privé de confiance.
• Vérifier si une attaque a déjà eu lieu : Fortinet a publié des fichiers, des adresses IP et des entrées de journal associés aux attaques, mais n'a pas dit quand elles ont commencé, combien de systèmes ont été touchés ni qui se trouve derrière.

Pourquoi elles comptent même si vous êtes une PME

Une passerelle de messagerie est exposée à Internet, traite tout votre courrier et dispose généralement de privilèges très élevés au sein du réseau. Si elle tombe, l'attaquant ne se contente pas de voir vos e-mails : il obtient un point d'appui à l'intérieur de votre infrastructure. C'est le même schéma d'équipement périphérique que nous avons déjà vu avec les zero-days de Citrix NetScaler. Si votre messagerie est hébergée sur Microsoft 365 ou Google Workspace sans aucun équipement propre en amont, ces deux failles ne vous touchent pas directement ; elles vous touchent si votre entreprise, votre cabinet comptable ou votre prestataire informatique exploite l'une de ces passerelles.

Que faire dès aujourd'hui

• Découvrez si votre entreprise ou votre prestataire utilise Cisco Secure Email Gateway ou FortiMail ; si vous ne savez pas quels équipements vous exposez à Internet, c'est la première étape.
• Chez Cisco, vérifiez la version de Content Scanner Tools et mettez à jour vers la 25.3.0.5525 ou une version ultérieure. Si vous soupçonnez que l'équipement était déjà exposé, considérez-le comme potentiellement compromis et conservez les journaux avant de le reconstruire.
• Chez FortiMail, appliquez la mesure d'atténuation sur IBE et la restriction d'accès à l'administration, examinez les indicateurs de compromission de Fortinet et installez la version corrigée dès qu'elle sera disponible pour votre branche.
• Ne laissez aucune interface d'administration ouverte à Internet sur un équipement périphérique.

Cette même semaine, Microsoft a en outre publié son bulletin d'octobre avec plus de 1 400 vulnérabilités, donc si vous n'avez personne pour tenir l'inventaire et gérer les mises à jour, notre service de maintenance informatique inclut cette révision, et un audit vous indique quels équipements vous exposez et dans quelle version ils se trouvent.