FortiMail, zero-day critico sfruttato: chi ha il filtro email Fortinet deve agire

Il 1° ottobre 2026 l'agenzia americana per la sicurezza informatica, la CISA, ha inserito nel suo catalogo delle vulnerabilità sfruttate la falla CVE-2026-104286 di FortiMail, il gateway di posta di Fortinet che filtra spam e allegati pericolosi. Come riporta The Hacker News, la falla ha gravità 9,8 su 10 e permette a un attaccante non autenticato di scrivere file a piacere sul sistema. Fortinet ha confermato gli attacchi.

Cos'è FortiMail e perché la falla è grave?

FortiMail si mette davanti ai server di posta e controlla tutto quello che entra ed esce: spam, phishing, virus negli allegati. Dove è installato è il primo filtro della posta aziendale, e per gestirlo da remoto capita che il pannello di amministrazione resti raggiungibile da internet.

La vulnerabilità, secondo l'avviso di Fortinet citato da The Hacker News, unisce due difetti: un controllo insufficiente sui percorsi dei file (path traversal) e una gestione sbagliata di un carattere speciale nei nomi. Con richieste web costruite apposta, chi attacca può scrivere file dove vuole sul dispositivo. Da lì a prenderne il controllo il passo è breve.

Un dispositivo di sicurezza compromesso è il caso peggiore: vede passare tutta la posta aziendale e gode della fiducia del resto della rete.

Quali versioni sono colpite?

Secondo l'avviso:

• FortiMail 8.0 dalla 8.0.0 alla 8.0.1: aggiornare alla 8.0.2 o successiva;
• FortiMail 7.6 dalla 7.6.0 alla 7.6.6: aggiornare alla 7.6.7 o successiva;
• FortiMail 7.4 dalla 7.4.0 alla 7.4.8: aggiornare alla 7.4.9 o successiva;
• FortiMail 7.2 dalla 7.2.0 alla 7.2.9: passare al ramo 7.4 o superiore.

Al momento dell'avviso alcune di queste versioni correttive erano annunciate come in arrivo. Per questo Fortinet ha indicato anche misure temporanee.

Quali sono le misure temporanee?

Fortinet suggerisce due interventi in attesa dell'aggiornamento:

1. disattivare la funzione IBE (Identity Based Encryption, la cifratura delle email basata sull'identità) dalla riga di comando del dispositivo, se non la usi;
2. togliere l'accesso da internet all'interfaccia di gestione, o limitarlo alle sole reti interne fidate.

Il secondo punto vale sempre, non solo per questa falla: il pannello di amministrazione di un apparato di sicurezza non dovrebbe essere raggiungibile da chiunque.

Come capire se il dispositivo è stato attaccato?

Fortinet ha pubblicato indicatori di compromissione: due indirizzi IP da cui sono partiti gli attacchi e un elenco di file aggiunti o modificati sul dispositivo, fra cui librerie e configurazioni del sistema. Chi gestisce FortiMail deve confrontarli con lo stato del proprio apparato. La falla è stata scoperta internamente da un ricercatore del team di sicurezza di Fortinet.

Cosa cambia per una PMI?

Se la tua posta passa per un FortiMail, probabilmente non lo gestisci tu ma un fornitore IT o un system integrator. La cosa da fare è semplice: chiedergli per iscritto se l'apparato è stato aggiornato o messo in sicurezza e se ha controllato gli indicatori di compromissione.

Se invece la posta è su un servizio cloud (Microsoft 365, Google Workspace) senza FortiMail davanti, questa falla non ti riguarda direttamente. Restano valide le buone regole per la posta: SPF, DKIM e DMARC configurati e attenzione al phishing.

Cosa fare adesso?

1. Verifica se in azienda c'è un FortiMail e quale versione monta.
2. Aggiorna alla versione correttiva del tuo ramo appena disponibile.
3. Nel frattempo, togli l'interfaccia di gestione da internet e disattiva IBE se non serve.
4. Controlla gli indicatori di compromissione pubblicati da Fortinet.
5. Se trovi segni di attacco, considera compromesse le credenziali salvate sul dispositivo e cambiale.

Negli stessi giorni è finito sotto attacco anche un altro filtro di posta molto usato: ne parlo nella notizia su Cisco Secure Email Gateway.

Ne parliamo?

Quando sviluppo un'applicazione che manda e riceve email, o la integro con altri sistemi, l'infrastruttura di posta fa parte del progetto, come in ogni automazione dei processi che passa dalle email. Se vuoi un parere su come è messa la tua, a partire da cosa è esposto su internet, posso aiutarti con una consulenza tecnica. Scrivimi dalla pagina contatti.

Fonti

• Critical FortiMail Zero-Day Flaw Exploited in Attacks Allows Unauthenticated Arbitrary File Writes (The Hacker News)
• CISA Adds One Known Exploited Vulnerability to Catalog (CISA, 1 ottobre 2026)

Crediti delle immagini

• Copertina: foto di Maksim Goncharenok su Pexels