FortiMail : faille critique exploitée, correctif disponible

Fortinet a publié le 1er octobre 2026 un bulletin de sécurité concernant FortiMail, sa passerelle de protection de la messagerie. La vulnérabilité, référencée CVE-2026-104286, est notée 9.8 sur 10 et permet à un attaquant non authentifié d’écrire des fichiers sur l’équipement au moyen de requêtes HTTP ou HTTPS forgées. Le CERT-FR a relayé l’avis le 2 octobre. Fortinet indique que la faille était exploitée avant la publication du correctif, et l’agence américaine CISA l’a inscrite à son catalogue des vulnérabilités activement exploitées, avec une échéance de remédiation fixée au 4 octobre pour les administrations fédérales.

Qui est concerné

Cette faille ne touche pas tout le monde : elle concerne les entreprises qui exploitent une passerelle FortiMail, un équipement dédié au filtrage du courrier électronique, distinct du pare-feu FortiGate. Si votre messagerie est hébergée sur Microsoft 365 sans passerelle intermédiaire, vous n’êtes pas exposé par ce biais. Les versions vulnérables sont les branches 8.0.0 à 8.0.1, 7.6.0 à 7.6.6, 7.4.0 à 7.4.8 et 7.2.0 à 7.2.9. Le défaut se situe dans le service de chiffrement par identité, exposé sur un point d’entrée web de l’interface ; c’est cette fonction, et non le filtrage lui-même, qui ouvre la porte.

Ce qu’il faut faire, dans l’ordre

Le correctif est disponible : Fortinet publie les versions 8.0.2, 7.6.7 et 7.4.9, et recommande aux utilisateurs de la branche 7.2 de migrer vers 7.4 ou supérieur. Si la mise à jour ne peut pas être appliquée dans l’heure, Fortinet documente trois contournements : désactiver la fonction de chiffrement par identité, restreindre l’accès au webmail aux réseaux de confiance, ou filtrer les requêtes suspectes vers le point d’entrée concerné. Sur un équipement exposé depuis Internet et resté sans correctif depuis le 1er octobre, la mise à jour ne suffit pas : Fortinet publie des indicateurs de compromission, et il faut vérifier qu’aucun fichier ni compte n’a été ajouté avant de considérer l’incident clos.

Sur les parcs dont WizCo-IT assure l’infogérance, les avis du CERT-FR concernant les équipements déployés sont suivis quotidiennement, et l’inventaire des versions en production permet de savoir en quelques minutes si une alerte vous concerne ou non. C’est tout l’intérêt de cet inventaire : il évite autant les mises à jour en urgence inutiles que les équipements oubliés. Si vous ne savez pas quelle version fait tourner votre passerelle de messagerie aujourd’hui, c’est la première chose à établir.