FortiMail'de Kritik Sıfırıncı Gün
Fortinet, 1 Ekim 2026'da FortiMail için acil güvenlik tavsiyesi yayımladı. CVE-2026-104286, CVSS v3 puanı 9.8 ile "kritik" seviyesinde sınıflandırılan bir path traversal açığı. Kimlik doğrulaması olmaksızın uzaktan istismar edilerek saldırganın sistem üzerinde keyfi dosya yazmasına olanak tanıyor.
Açığı Fortinet'in kendi Product Security ekibinden Gwendal Guégniaud keşfetti. Yayımlandığı gün CISA, açığı Known Exploited Vulnerabilities (KEV) kataloğuna ekledi ve federal kurumlar için düzeltme son tarihi olarak 4 Ekim 2026'yı belirledi.
Etkilenen Sürümler
| Versiyon Dalı | Etkilenen Aralık | Sabit Sürüm |
|---|---|---|
| FortiMail 8.0 | 8.0.0 – 8.0.1 | 8.0.2 |
| FortiMail 7.6 | 7.6.0 – 7.6.6 | 7.6.7 |
| FortiMail 7.4 | 7.4.0 – 7.4.8 | 7.4.9 |
| FortiMail 7.2 | Tüm 7.2.x | 7.4 veya üzerine yükseltin |
Teknik Detay
Açık, FortiMail'in dosya işleme mekanizmasındaki path traversal (dizin geçişi) hatasından kaynaklanıyor. Saldırgan özel hazırlanmış bir HTTP isteğiyle kimlik doğrulamasını atlayıp sistemde istediği konuma dosya yazabiliyor. Bu yetki; web shell yerleştirme, servis hesabı ele geçirme ve sistemde kalıcı arka kapı oluşturma için doğrudan kötüye kullanılabilir.
FortiMail genellikle DMZ'de çalıştırıldığından internet erişimine doğrudan açık olma ihtimali yüksek. Bu da aktif istismarın yaygınlaşma riskini artırıyor.
Acil Azaltıcı Önlemler (Yama Mümkün Değilse)
Fortinet'in önerdiği geçici çözümler:
- IBE (Identity-Based Encryption) devre dışı bırakma: FortiMail GUI → System → Advanced → IBE bölümünden devre dışı bırakın. Bu özelliği kullanmıyorsanız zaten kapalı olması gerekir.
- Yönetim arayüzü erişimini kısıtlama: FortiMail yönetim portu için kaynak IP kısıtlaması uygulayın; yalnızca güvenilen yönetim ağı erişsin.
- İnternete açık yönetim arayüzü varsa hemen kapatın.
Neden Bu Kadar Acil?
CISA'nın KEV kataloğu, "aktif istismar kanıtı olan" açıklar için kullanılıyor. 1 Ekim'de yayımlanmasıyla eş zamanlı KEV'e girmesi, açığın yayımlanmadan önce de kullanılmış olduğuna işaret ediyor. Bu pattern — yayım günü KEV — geçmişte FortiOS, Citrix ve Exchange açıklarında da görüldü ve her seferinde hızlı vahşi istismara dönüştü.
Önerimiz
FortiMail kullanan tüm kurumların 8.0.2 / 7.6.7 / 7.4.9 sürümlerine bu hafta içinde yükseltmesini öneriyoruz. 7.2.x dalında kalıyorsanız artık güvenlik yamalarından yararlanamıyorsunuz; 7.4.9'a geçiş planı yapılmalı. Yükseltme veya güvenlik açığı değerlendirmesi için destek alabilirsiniz.