FortiMail bajo ataque zero-day
¿Tu servidor de correo corporativo está siendo atacado ahora mismo sin que lo sepas?
Fortinet confirma explotación activa de un zero-day crítico en FortiMail.
El fallo, catalogado como CVE-2026-104286 con una puntuación CVSS de 9.8, permite a cualquier atacante sin credenciales escribir archivos arbitrarios en el sistema mediante peticiones HTTP manipuladas.
Los parches para las versiones 7.4, 7.6 y 8.0 aún no existen, dejando a miles de organizaciones expuestas mientras los ataques ya ocurren.
Los atacantes ya están dentro de algunos sistemas comprometidos.
El fallo combina dos debilidades técnicas: una vulnerabilidad de path traversal y una neutralización incorrecta de caracteres NULL. Juntas, permiten a un atacante sin ningún tipo de autenticación enviar peticiones HTTP o HTTPS especialmente construidas para depositar archivos maliciosos directamente sobre el sistema operativo del servidor. No necesita contraseña, no necesita cuenta, no necesita nada más que acceso a la interfaz de gestión de FortiMail.
Fortinet ya tiene indicadores de compromiso publicados y confirmados.
Entre las evidencias que Fortinet ha compartido figura una cuenta de archivo llamada archive234 configurada desde línea de comandos, apuntando a un servidor remoto con IP 79.141.169.187. Eso sugiere que el atacante programó el sistema para enviar datos archivados hacia fuera. También aparecen tareas programadas sospechosas, errores de descifrado IBE y múltiples intentos de acceso fallidos que delatan actividad de reconocimiento previo.
CISA exige a agencias federales mitigar esto antes del 4 de octubre.
Fortinet coordina la respuesta con CISA y otros organismos gubernamentales, pero la realidad es que los administradores de sistemas no pueden esperar al parche oficial. Las versiones afectadas van desde FortiMail 7.2 hasta 8.0.1, y las actualizaciones correctoras aún figuran como próximas, sin fecha exacta de lanzamiento.
Este patrón no es exclusivo de FortiMail.
Firewalls, pasarelas de correo y plataformas de gestión llevan meses siendo el blanco preferido de actores de amenaza que buscan entradas sin fricción.
Una interfaz de gestión expuesta a internet convierte cualquier fallo crítico en una autopista directa.
El catálogo KEV de CISA acumula decenas de vulnerabilidades en productos de seguridad de red explotadas activamente en 2025.
La gestión expuesta es el talón de Aquiles.
Mientras los parches llegan, Fortinet ofrece dos vías: deshabilitar la función IBE mediante comandos específicos, o cortar el acceso a la interfaz de gestión desde internet. Ninguna es perfecta, pero ambas reducen la superficie de ataque.
El problema real va más allá del parche.
Las pasarelas de correo corporativo como FortiMail son infraestructura crítica: gestionan comunicaciones internas, filtran amenazas entrantes y, en muchos casos, archivan mensajes sensibles. Un atacante que compromete este tipo de sistema no solo gana un punto de apoyo en la red, sino acceso potencial a datos confidenciales, credenciales y comunicaciones históricas que pueden usarse para movimientos laterales mucho más profundos dentro de la organización.
El atacante configuró el sistema para exfiltrar datos de forma silenciosa.
Los indicadores de compromiso publicados por Fortinet revelan que el atacante reconfiguró el servidor de correo para enviar copias de datos archivados a un servidor externo bajo su control. Eso convierte el incidente en una potencial brecha de datos, no solo en una intrusión puntual que se puede contener.
Sin parche disponible, la mitigación manual es la única defensa ahora.
Si administras FortiMail en versiones afectadas, tienes dos opciones: ejecutar los comandos de desactivación de IBE del aviso oficial de Fortinet, o aislar la interfaz de gestión de cualquier acceso externo. Esperar al parche no es una opción válida cuando los ataques ya están ocurriendo.
Revisa los logs: los atacantes dejan rastro.
Fortinet ha publicado ejemplos concretos de entradas de log que indican compromiso: cuentas de archivo no reconocidas, tareas cron sospechosas y errores de decodificación Base64 en el módulo IBE. Revisar esos registros ahora mismo puede marcar la diferencia entre detectar una intrusión a tiempo o descubrirla semanas después con mucho más daño hecho.
Actualiza en cuanto los parches estén disponibles.
Fortinet no ha revelado cuántos sistemas ya están comprometidos ni quién está detrás. ¿Tu organización ya ha revisado sus logs de FortiMail hoy?
Actúa ahora mismo
- ✓Desactiva el acceso externo a la interfaz de gestión de FortiMail.
- ✓Aplica el workaround IBE siguiendo el aviso oficial de Fortinet.
- ✓Revisa los logs buscando archive234 y las IPs publicadas como IOCs.
¿Has comprobado ya si tu FortiMail está entre los sistemas afectados?
La seguridad no se improvisa, se audita. En Nacata Security detectamos vulnerabilidades y protegemos tu empresa, porque un solo fallo puede costarte todo lo que has construido.
Artículos relacionados
Zimbra atrapada en espionaje ruso
El CISO pierde el control total
Keio descarrila ante el ransomware
macOS pone freno a la IA
eMAPT conquista lo móvil
Nacata Security, contáctanos cuando quieras
Somos Nacata Security, conócenos
web: nacata.io
email: info@nacata.io
Teléfono: 919930793
LinkedIn: Nacata Security
Riesgos y ataques que están ocurriendo justo ahora: vulnerabilidades siendo explotadas activamente, alertas oficiales de organismos de ciberseguridad, campañas de phishing o malware en marcha.
Información pensada para actuar y protegerte antes de que el problema te llegue a afectar.
RATING
9.6
¿Quiénes somos?
En Nacata Security somos una empresa de ciberseguridad ofensiva especializada en auditorías y test de intrusión.
Detectamos, evaluamos y ayudamos a mitigar las vulnerabilidades de tus sistemas, redes y aplicaciones antes de que un atacante real las explote, ofreciendo una defensa 360º adaptada a cada cliente.
Estamos encantados de contactar contigo para lo que quieras.