Filtert jouw bedrijf of IT-partner mail met een Fortinet FortiMail? Dan is er haast bij. Fortinet bevestigde op 1 oktober 2026 een kritiek lek waarmee een aanvaller, zonder wachtwoord, bestanden op het toestel kan schrijven. Het wordt al misbruikt. De patches bestaan nog niet, dus nu telt de workaround: zet Identity-Based Encryption uit.

In het kort

CVE-2026-104286 (CVSS 9.8) is een path traversal-fout in de IBE-functie van FortiMail. Een speciaal opgemaakt HTTP- of HTTPS-verzoek volstaat om zonder login willekeurige bestanden te schrijven (bron: BleepingComputer, Help Net Security).
Het lek wordt actief misbruikt. CISA nam het op 1 oktober 2026 op in de KEV-catalogus, met een deadline van 4 oktober voor Amerikaanse federale diensten (bron: BleepingComputer, Field Effect).
Er is nog geen gepatchte versie. Fortinet kondigt 7.4.9, 7.6.7 en 8.0.2 aan. Tot dan: IBE uitschakelen via de CLI en het beheer afschermen van het internet (bron: Help Net Security, Field Effect).

Wat is er precies aan de hand?

FortiMail is een e-mailgateway van Fortinet. Het filtert spam en phishing voor je mail binnenkomt. Het toestel hangt dus tussen jouw bedrijf en het internet.

Fortinet publiceerde advisory FG-IR-26-175 voor CVE-2026-104286. Het gaat om een path traversal gecombineerd met een NULL-byte-fout in de webinterface, in de Identity-Based Encryption-functie (IBE). Een aanvaller omzeilt zo de mapbeperkingen en schrijft bestanden op plekken waar dat niet mag.

Volgens de bronnen gebruiken aanvallers dat om eigen bestanden te plaatsen en configuratiebestanden aan te passen. Daarmee kunnen ze code of commando’s uitvoeren op het toestel.

Ninja tip

Een mailgateway ziet al je binnenkomende mail. Wie daar binnenraakt, kan meelezen of mails aanpassen. Behandel dit toestel dus als een kroonjuweel, niet als “een doosje in de serverkast”.

Welke versies zijn kwetsbaar?

FortiMail-tak	Kwetsbaar	Gepatchte versie
8.0	8.0.0 tot en met 8.0.1	8.0.2 (aangekondigd)
7.6	7.6.0 tot en met 7.6.6	7.6.7 (aangekondigd)
7.4	7.4.0 tot en met 7.4.8	7.4.9 (aangekondigd)
7.2	7.2.0 tot en met 7.2.9	Geen fix, migreer naar 7.4 of hoger

Bron: Fortinet advisory FG-IR-26-175, zoals samengevat door Help Net Security en BleepingComputer. Stand van zaken op 5 oktober 2026.

Draai je 7.2? Dan krijg je volgens de bronnen geen patch. Plan een migratie naar 7.4 of hoger.

Wat doe je vandaag?

Schakel IBE uit. Fortinet geeft als workaround: Identity-Based Encryption uitzetten via de CLI.
Sluit het beheer af van het internet. De beheerinterface hoort enkel bereikbaar te zijn vanaf een intern of VPN-adres.
Zoek naar sporen van inbraak. Omdat het misbruik al bezig is, kijk je naar vreemde bestanden en gewijzigde configuratie. CISA vraagt dit ook aan federale diensten.
Patch zodra de update er is. Volg de Fortinet-advisory en installeer 7.4.9, 7.6.7 of 8.0.2 meteen.

Wat betekent dit voor jou als KMO in de Kempen?

Veel KMO’s hebben geen eigen FortiMail, maar hun IT-partner of mailprovider wel. Je weet dus niet altijd dat je het gebruikt.

Vraag: Moet ik als klant zelf iets doen? Vraag je IT-partner vandaag of jullie een FortiMail gebruiken en of de workaround er staat. Dat is één mail van twee zinnen.

Vraag: Is er een patch? Op 5 oktober 2026 is die volgens onze bronnen nog niet uit. Alleen de workaround beschermt je nu.

Vraag: Valt mijn mail uit als IBE uit staat? Gewone mailfiltering blijft werken. IBE is de functie voor versleutelde mail naar externe ontvangers. Gebruik je die, praat dan met je partner over een alternatief tot de patch er is.

Onze mening

Dit is het zoveelste internetgericht beveiligingstoestel met een kritiek lek dat al misbruikt wordt voor er een fix is. Citrix, Cisco en Ubiquiti gingen Fortinet voor de laatste weken. Het patroon is duidelijk.

Wat wij erover vinden: beveiligingstoestellen zijn zelf het doelwit geworden. Beperk wat ze naar buiten blootstellen, zet beheer nooit open op het internet, en reken op een snelle workaround in plaats van op een perfecte patch.

Wat betekent dit voor jou?

Draai je FortiMail 7.2, 7.4, 7.6 of 8.0? Schakel IBE vandaag uit.
Sluit de beheerinterface af van het internet.
Zoek naar sporen van inbraak en bewaar logs bij een vermoeden.
Patch zodra 7.4.9, 7.6.7 of 8.0.2 beschikbaar is.

Wil je zeker zijn dat kritieke toestellen bij jou meteen aangepakt worden, ook als de patch nog niet bestaat? Neem contact op met CyberNinja en we bekijken samen je blootstelling.

Bronnen

Fortinet warns of critical FortiMail flaw exploited in zero-day attacks - BleepingComputer
Critical FortiMail zero-day exploited in the wild (CVE-2026-104286) - Help Net Security, 2 oktober 2026
Patches pending for actively exploited FortiMail flaw - Field Effect
Fortinet FortiMail FAQ: CVE-2026-104286 - watchTowr
Critical FortiMail Zero-Day Flaw Exploited in Attacks Allows Unauthenticated Arbitrary File Writes - The Hacker News

Beeldverantwoording

hero.webp - CyberNinja.be, eigen werk