FortiMail Güvenlik Açığı: CVE-2026-104286 Zero-Day Olarak İstismar Ediliyor

Özet

Fortinet, 1 Ekim 2026'da FortiMail için FG-IR-26-175 numaralı güvenlik danışmasını yayımladı. FortiMail güvenlik açığı CVE-2026-104286, IBE (Identity Based Encryption, kimliğe dayalı şifreleme) web özelliğindeki bir dizin geçişi (path traversal) hatası. Kimlik doğrulaması olmayan bir saldırgan, bu açıkla cihaza istediği dosyayı yazabiliyor. Açık, düzeltmesi çıkmadan önce saldırılarda kullanıldı (zero-day).

• CVSS v3: 9,8 (Kritik)
• Etkilenen sürümler: FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 ve 7.2.0–7.2.9.
• Aktif istismar: Evet.
• CISA KEV: Açık 1 Ekim 2026'da kataloğa eklendi. ABD federal kurumları için son tarih 4 Ekim 2026.
• Çözüm durumu: Düzeltilmiş sürüm henüz yayımlanmadı. Geçici çözüm mevcut.

Hangi sürümler etkileniyor?

7.2 dalı için düzeltme beklenmiyor. Bu dalı kullanıyorsanız 7.4 veya daha yeni bir dala geçişi şimdiden planlayın.

Şimdi ne yapmalısınız?

1. Envanter çıkarın: FortiMail cihazlarınızın sürümünü ve IBE özelliğinin açık olup olmadığını kontrol edin.
2. IBE'yi kapatın: Geçici çözümlerin ilki IBE'yi devre dışı bırakmak. CLI'da şu komutları çalıştırın:

``` config system encryption ibe set status disable end ```

IBE'yi kapatmak, bu özelliğe bağlı şifreli e-posta akışını da durdurur. Etkisini kullanıcılarınıza önceden duyurun.

1. IBE'yi kapatamıyorsanız erişimi kısıtlayın: Webmail'e internetten erişimi kısıtlayın. Ya da önünde bir web uygulama güvenlik duvarı (WAF) varsa, /ibe adresine gelen ve ../ içeren POST isteklerini engelleyin.
2. İzleri arayın: Aşağıdaki ele geçirilme göstergelerini (IoC) günlüklerinizde ve yapılandırmanızda arayın.
3. Düzeltilmiş sürüm çıkınca hemen güncelleyin: 8.0.2, 7.6.7 veya 7.4.9 yayımlandığında, kullandığınız dala göre yükseltin. Öncesinde yapılandırma yedeği alın.
4. Şüphe varsa olay müdahalesi uygulayın: Cihazı izole edin, günlükleri ve yapılandırmayı saklayın, yönetici parolalarını ve cihazda kayıtlı diğer parolaları değiştirin.
5. KVKK yükümlülüğünü unutmayın: E-posta içerikleri gibi kişisel verilere erişildiyse, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapılması gerekir.

Geçici önlemler güncellemenin yerini tutmaz. Yalnızca düzeltilmiş sürüm çıkana kadar riski azaltır.

Ele geçirilme göstergeleri (IoC)

• IP adresi: 79.141.169.187
• IP adresi: 45.129.0.192
• 79.141.169.187 adresine yönlendirilmiş, uzak bir "archive account" (arşiv hesabı) tanımı

Bu IP adreslerinden gelen bağlantıları günlüklerde arayın. Arşivleme ayarlarında sizin oluşturmadığınız bir uzak arşiv hesabı varsa cihazı ele geçirilmiş kabul edin.

Bu bülten güncellenecek

Fortinet düzeltilmiş sürümleri (8.0.2, 7.6.7 ve 7.4.9) yayımladığında bu bülteni güncelleyeceğiz.

Doğa Network nasıl yardımcı olabilir?

FortiMail cihazlarınızın sürüm ve yapılandırma kontrolü, IBE ve webmail erişiminin kısıtlanması, ele geçirilme incelemesi ve düzeltilmiş sürüm çıktığında planlı güncelleme konusunda ekibimiz destek verebilir. Bize 0850 888 3642 numaralı telefondan veya hi@doga.network adresinden ulaşabilirsiniz.

Kaynaklar

• Fortinet PSIRT – FG-IR-26-175
• BleepingComputer – Fortinet warns of critical FortiMail flaw exploited in zero-day attacks
• Belçika Siber Güvenlik Merkezi (CCB) – Warning: actively exploited FortiMail vulnerability
• CISA – KEV kataloğuna bir açık eklendi (1 Ekim 2026)