Krytyczne luki w FortiMail i Cisco

Dwie krytyczne podatności pod presją ataków

Świat bezpieczeństwa IT znów zmaga się z falą aktywnie wykorzystywanych luk typu zero-day. Tym razem na celowniku znalazły się dwa szeroko używane produkty: FortiMail od Fortinet oraz Cisco Catalyst SD-WAN Manager. Obie podatności mają wysoki, krytyczny poziom ryzyka i pozwalają atakującym na przejęcie kontroli nad systemami bez wcześniejszego uwierzytelnienia.

W obu przypadkach mówimy o lukach, które zostały już zauważone w realnych atakach, a nie tylko w testach laboratoryjnych. To oznacza, że administratorzy nie powinni odkładać reakcji na później.

FortiMail: zapis dowolnych plików bez logowania

W przypadku FortiMail problem oznaczony jako CVE-2026-104286 otrzymał ocenę CVSS 9,8. Luka wynika z błędu związanego z path traversal oraz niewłaściwą obsługą znaku NULL. W praktyce może to umożliwić nieautoryzowanemu atakującemu zapisanie dowolnych plików w systemie za pomocą spreparowanych żądań HTTP lub HTTPS.

Fortinet potwierdził, że podatność jest wykorzystywana w środowisku produkcyjnym. Firma wskazała też, że problem dotyczy następujących wydań:

• FortiMail 8.0.0–8.0.1 — zalecana aktualizacja do 8.0.2 lub nowszej
• FortiMail 7.6.0–7.6.6 — zalecana aktualizacja do 7.6.7 lub nowszej
• FortiMail 7.4.0–7.4.8 — zalecana aktualizacja do 7.4.9 lub nowszej
• FortiMail 7.2.0–7.2.9 — zalecana migracja do gałęzi 7.4 lub nowszej

Do czasu wdrożenia poprawek producent zalecił obejścia, w tym wyłączenie funkcji IBE oraz ograniczenie dostępu do interfejsu zarządzania wyłącznie z zaufanych sieci prywatnych. Producent opublikował też wskaźniki kompromitacji, w tym adresy IP 79.141.169[.]187 i 45.129.0[.]192 oraz listę plików, które mogą świadczyć o ingerencji w system.

Wśród wskazanych artefaktów znalazły się m.in.:

• /data/lib/liblog.so — dodany
• /data/bin/webconsole — dodany
• /data/bin/mailservice — dodany
• /data/etc/ld.so.preload — dodany
• /bin/smit — zmodyfikowany
• /data/etc/httpd.conf — zmodyfikowany
• /data/migadmin.tar.gz — zmodyfikowany

Cisco Catalyst SD-WAN Manager: obejście uwierzytelniania

Drugi problem dotyczy Cisco Catalyst SD-WAN Manager i jest śledzony jako CVE-2026-76504. Również tutaj mamy do czynienia z oceną CVSS 9,8 oraz aktywnym wykorzystywaniem w atakach.

Podatność polega na błędnym przetwarzaniu kodowania URI w żądaniu HTTP. W efekcie zdalny, nieautoryzowany napastnik może ominąć mechanizmy uwierzytelniania i uzyskać dostęp do API z uprawnieniami administratora. To z kolei może prowadzić do przejęcia całej infrastruktury zarządzanej przez to rozwiązanie.

Konsekwencje takiego ataku mogą być bardzo szerokie: od kradzieży lub usunięcia plików i kopii zapasowych, po przestoje i pełne przejęcie środowiska. Cisco podkreśliło, że nie ma skutecznego obejścia poza instalacją poprawionego wydania oprogramowania.

Producent zaznaczył też, że mitigacja została już wdrożona w środowiskach chmurowych zarządzanych przez Cisco, ale organizacje powinny samodzielnie ocenić jej skuteczność we własnym otoczeniu.

CISA i zalecenia dla administratorów

Obie podatności trafiły do katalogu KEV amerykańskiej agencji CISA, czyli listy znanych i aktywnie wykorzystywanych luk. W przypadku FortiMail federalnym agencjom cywilnym w USA zalecono wdrożenie łatek lub obejść najpóźniej do 4 października 2026 roku.

W przypadku Cisco Catalyst SD-WAN Manager rekomendacja jest jeszcze bardziej bezpośrednia: organizacje powinny jak najszybciej przeprowadzić audyt środowisk, sprawdzić oznaki kompromitacji i zaktualizować system do wersji naprawionej, bez czekania na standardowy cykl poprawek.

Szerszy obraz problemu

Te dwa przypadki pokazują, jak szybko publicznie ujawnione luki mogą stać się elementem realnych kampanii ofensywnych. Systemy brzegowe, narzędzia do zarządzania ruchem i platformy pocztowe są szczególnie cenne dla atakujących, bo dają dostęp do wielu użytkowników, danych i zasobów naraz.

Dlatego w praktyce liczy się nie tylko sama aktualizacja, ale też:

• szybkie sprawdzenie, czy dany produkt jest wystawiony do internetu,
• ograniczenie dostępu do paneli administracyjnych,
• analiza logów pod kątem nietypowych żądań,
• weryfikacja plików i konfiguracji systemu po możliwym ataku.

W obecnej sytuacji zwlekanie z reakcją może oznaczać, że organizacja stanie się kolejną ofiarą aktywnie wykorzystywanego łańcucha ataków.