Fortinet-ը հոկտեմբերի 1-ին զգուշացրել է, որ հարձակվողներն էլեկտրոնային փոստի անվտանգության համակարգի խոցելիությունն օգտագործել են՝ առանց մուտք գործելու ֆայլեր գրելու համար։ Ադմինիստրատորները կարող են ստուգել ներթափանցման հետքերը և ժամանակավոր պաշտպանական միջոցներ կիրառել՝ միաժամանակ ստուգելով ուղղումների հասանելիությունը։
Fortinet-ը հաստատել է, որ հարձակվողները շահագործել են իր էլեկտրոնային փոստի անվտանգության FortiMail հարթակի կրիտիկական խոցելիությունը։ CVE-2026-104286 խոցելիությունը կարող է թույլ տալ առանց մուտք գործելու ֆայլեր գրել ազդակիր համակարգում՝ դրա վեբ միջերեսի միջոցով։ Fortinet-ը հաճախորդներին զգուշացրել է հոկտեմբերի 1-ին, իսկ Eclypsium-ը խոցելիությանն անդրադարձել է նաև ենթակառուցվածքների խոցելիությունների մասին հոկտեմբերյան զեկույցում։
Fortinet-ը հայտնել է, որ հատուկ կազմված վեբ հարցումներով հնարավոր է շահագործել ֆայլային ուղու սահմանափակումների շրջանցման խոցելիությունը, որը թույլ է տալիս հարցմանը հասնել նախատեսված ֆայլային տեղադրությունից դուրս։ Դա հնարավոր է զրոյական նիշերի ոչ պատշաճ մշակման հետ համատեղ։ Արդյունքում FortiMail համակարգում կարող են կամայական ֆայլեր գրվել։ Որոշ տեղադրություններում ֆայլեր գրելը կարող է հարձակվողին թույլ տալ համակարգում գործարկել կոդ կամ հրամաններ։
Fortinet-ի հոկտեմբերի 1-ի ուղեցույցում նշված են հետևյալ ազդակիր տարբերակներն ու խոցելիությունը շտկելու ուղիները․
| Ճյուղ | Ազդակիր տարբերակներ | Հոկտեմբերի 1-ի շտկման ուղեցույցը |
|---|---|---|
| 8.0 | 8.0.0–8.0.1 | 8.0.2-ը նշված է որպես սպասվող տարբերակ |
| 7.6 | 7.6.0–7.6.6 | 7.6.7-ը նշված է որպես սպասվող տարբերակ |
Հարձակվողները կարող են ֆայլեր գրել առանց մուտք գործելու, ինչը կարող է թույլ տալ կոդ գործարկել։ Որոշ շտկումներ դեռ սպասվում են, իսկ ժամանակավոր միջոցները չեն վերացնում արդեն տեղի ունեցած ներթափանցման հետևանքները։
2 րոպե
| 7.4.0–7.4.8 |
| 7.4.9-ը նշված է որպես սպասվող տարբերակ |
| 7.2 | 7.2.0–7.2.9 | Թարմացնել մինչև 7.4 ճյուղի շտկված կամ ավելի նոր տարբերակ |
Fortinet-ը խորհուրդ է տվել ադմինիստրատորներին անջատել ինքնության վրա հիմնված գաղտնագրման աջակցությունը, եթե դրա կարիքը չունեն։ Որպես այլընտրանքային ժամանակավոր միջոց՝ նրանք կարող են FortiMail-ի կառավարման միջերեսն անհասանելի դարձնել ինտերնետից և մուտքը սահմանափակել վստահելի մասնավոր ցանցերով։ Այս քայլերը նվազեցնում են համակարգի խոցելիությունը, սակայն չեն հեռացնում ֆայլերը կամ մեխանիզմները, որոնք հարձակվողն արդեն կարող է տեղադրած լինել։
Fortinet-ը հրապարակել է ներթափանցման նշաններ, որոնք ադմինիստրատորները կարող են ստուգել, այդ թվում՝ կասկածելի ֆայլեր, կազմաձևման փոփոխություններ և մատյանների գրառումներ։ ԱՄՆ-ի կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը հոկտեմբերի 1-ին խոցելիությունն ավելացրել է հայտնի շահագործված խոցելիությունների իր ցանկում և պահանջել ազդակիր դաշնային քաղաքացիական գերատեսչություններից մինչև հոկտեմբերի 4-ը կատարել փորձագիտական ստուգումներ ու մեղմել խոցելիության ազդեցությունը։
BleepingComputer-ն իր հոկտեմբերի 28-ի հրապարակման մեջ գրել է, որ Eclypsium-ի հոկտեմբերյան InfraTrust Pulse զեկույցն ընդգրկել է սեպտեմբերի 18-ից հոկտեմբերի 14-ը 18 մատակարարի վերաբերյալ հրապարակված 133 նոր անվտանգության ծանուցում։ Դրանցից 16-ում ներառված էին խոցելիություններ, որոնք ԱՄՆ-ի գործակալության ցանկում նշված էին որպես շահագործված, այդ թվում՝ FortiMail-ի խոցելիությունը։
Fortinet-ը մինչև հոկտեմբերի 1-ը չէր հրապարակել, թե երբ են սկսվել FortiMail-ի դեմ հարձակումները, ովքեր են դրանք իրականացրել կամ քանի համակարգ է ենթարկվել ներթափանցման։ Ազդակիր ճյուղերն օգտագործող ադմինիստրատորները կարող են ստուգել ավելի վաղ հարձակման հետքերը և պարզել՝ արդյոք Fortinet-ը թողարկել է այն շտկումները, որոնք հոկտեմբերի 1-ին նշել էր որպես սպասվող։
