Cisco Secure Email Gateway și FortiMail: două gateway-uri de e-mail cu zero-day-uri exploatate în octombrie

Publicat pe 15 octombrie 2026 · Echipa mitza.es

Octombrie 2026 a adus două zero-day-uri critice în gateway-uri de securitate pentru e-mail, echipamentele care filtrează corespondența înainte să ajungă la utilizatorii tăi. Fortinet a confirmat pe 1 octombrie exploatarea CVE-2026-104286 în FortiMail, iar Cisco a avertizat la jumătatea lunii, cu un aviz CISA din 14 octombrie, despre cea a CVE-2026-76519 în Secure Email Gateway. Ambele au un scor CVSS de 9,8, nu necesită autentificare și apar în catalogul CISA al vulnerabilităților exploatate.

Cisco Secure Email Gateway: CVE-2026-76519

Este o vulnerabilitate de tip path traversal relativ în funcția Advanced Malware Protection. Un atacator la distanță, neautentificat, poate trimite un e-mail cu un atașament malițios prin echipamentul afectat, poate scrie fișiere arbitrare și poate executa comenzi cu privilegii de root. Afectează echipamentele fizice și virtuale, dar numai dacă sunt îndeplinite simultan două condiții: File Reputation este activat și atribuit unei politici de e-mail, iar Content Scanner Tools este anterior versiunii 25.3.0.5525.

• Soluție: actualizează Content Scanner Tools la versiunea 25.3.0.5525 sau ulterioară. Cisco indică faptul că nu există o măsură alternativă de atenuare și, potrivit mai multor analize, actualizarea nu cere o actualizare completă a sistemului și nici repornire.
• Cum verifici: comanda contentscannerstatus afișează versiunea instalată, iar contentscannerupdate forțează actualizarea dacă cele automate sunt dezactivate.
• Exploatare: Cisco a aflat de ea în octombrie. Nu a spus câte echipamente au fost afectate și nici ce au făcut atacatorii; una dintre surse arată că a detectat activitate malițioasă pe unele echipamente Secure Email Cloud și și-a contactat direct clienții. CISA a dat agențiilor federale termen până pe 17 octombrie.

Este al doilea zero-day pe acest produs în două luni: cel din septembrie, CVE-2026-76461, era o injecție SQL în analiza e-mailurilor, pe care Cisco a divulgat-o pe 14 septembrie. Pentru că atacatorii acționează cu privilegii de root, o scanare locală curată nu este suficientă pentru a exclude faptul că un echipament este deja compromis.

Fortinet FortiMail: CVE-2026-104286

Combină un path traversal cu tratarea incorectă a unui caracter nul în serviciul de criptare bazat pe identitate (IBE), pe endpoint-ul /ibe. Un atacator neautentificat poate scrie fișiere arbitrare în sistem prin cereri HTTP sau HTTPS manipulate. Fortinet a divulgat-o pe 1 octombrie (avizul FG-IR-26-175), iar CISA a adăugat-o în aceeași zi în catalogul său, cu termen până pe 4 octombrie.

• Versiuni afectate: 7.2.0 până la 7.2.9, 7.4.0 până la 7.4.8, 7.6.0 până la 7.6.6 și 8.0.0 până la 8.0.1.
• Patch: în avizul inițial, versiunile corectate, 8.0.2, 7.6.7 și 7.4.9, erau planificate, dar nepublicate, iar celor care folosesc ramura 7.2 li se recomanda să treacă la 7.4 sau la o versiune superioară. O alertă a agenției din Singapore din 6 octombrie arată că Fortinet a publicat deja actualizări, fără să precizeze versiunile, așa că merită consultată starea actuală în avizul FG-IR-26-175.
• Măsură de atenuare între timp: dezactivează IBE din linia de comandă (config system encryption ibe, set status disable, end) și blochează accesul din internet la interfața de administrare sau limitează-l la o rețea privată de încredere.
• Verifică dacă a existat deja un atac: Fortinet a publicat fișiere, adrese IP și intrări de jurnal asociate atacurilor, dar nu a spus când au început, câte sisteme au fost afectate și nici cine se află în spatele lor.

De ce contează chiar dacă ai o firmă mică

Un gateway de e-mail este expus la internet, procesează tot e-mailul tău și are, de regulă, privilegii foarte mari în rețea. Dacă cade, atacatorul nu doar vede e-mailul: obține un punct de sprijin în interiorul infrastructurii tale. Este același tipar de echipament de perimetru pe care l-am văzut deja la zero-day-urile Citrix NetScaler. Dacă e-mailul tău se află în Microsoft 365 sau Google Workspace, fără niciun echipament propriu în față, aceste două vulnerabilități nu te afectează direct; te afectează dacă firma ta, contabilul tău sau furnizorul tău de IT administrează unul dintre aceste gateway-uri.

Ce faci azi

• Află dacă firma ta sau furnizorul tău folosește Cisco Secure Email Gateway sau FortiMail; dacă nu știi ce echipamente ai expuse la internet, acesta este primul pas.
• La Cisco, verifică versiunea Content Scanner Tools și actualizează la 25.3.0.5525 sau ulterioară. Dacă bănuiești că echipamentul era deja expus, tratează-l ca pe unul potențial compromis și păstrează jurnalele înainte de a-l reconstrui.
• La FortiMail, aplică măsura de atenuare pentru IBE și restricția de acces la administrare, verifică indicatorii de compromitere publicați de Fortinet și instalează versiunea corectată de îndată ce este disponibilă pentru ramura ta.
• Nu lăsa interfețe de administrare deschise la internet pe niciun echipament de perimetru.

În aceeași săptămână, Microsoft a publicat și buletinul din octombrie cu peste 1.400 de vulnerabilități, așa că, dacă nu ai pe nimeni care să țină inventarul și actualizările, serviciul nostru de mentenanță IT include această verificare, iar un audit îți arată ce echipamente ai expuse și în ce versiune se află.