CISA confirma explotación activa de falla en FortiMail

CVE-2026-104286, un path traversal en Fortinet FortiMail, entra al catálogo KEV de CISA por evidencia de explotación activa. FortiMail es un gateway de correo ampliamente desplegado en empresas y bancos chilenos, muchas veces con su interfaz de administración expuesta.

Qué pasó

El 1 de octubre de 2026, CISA sumó CVE-2026-104286 (Fortinet FortiMail Path Traversal Vulnerability) a su catálogo KEV, indicando que existe evidencia de explotación activa. El aviso de CISA es breve: nombra la CVE, confirma que es un vector frecuente de ataque y recuerda que BOD 26-04 exige a las agencias federales estadounidenses priorizar la remediación de vulnerabilidades del catálogo KEV que otorgan control total del activo tras la explotación.

No tenemos, por ahora, detalle público del vector de explotación, versiones afectadas ni indicadores de compromiso: CISA no los incluyó en este aviso y Fortinet no apareció citado con un advisory PSIRT específico en las fuentes que manejamos. Lo que sí sabemos por la naturaleza de la vulnerabilidad (path traversal) es que en términos generales este tipo de falla permite leer o escribir archivos fuera del directorio esperado de la aplicación; si eso aplica en este caso específico de FortiMail, y si deriva en ejecución remota de código, es una hipótesis razonable pero no confirmada — la tratamos como tal.

Vale la pena el contexto: esta no es la primera vez que Fortinet aparece en el radar de CISA en las últimas semanas. El 9 de septiembre, CISA había sumado otras cuatro vulnerabilidades al catálogo con productos Fortinet entre los afectados, y al día siguiente The Hacker News cubrió ese mismo lote junto con fallas de Cisco y Citrix, fijando un plazo de parcheo federal al 12 de septiembre. Confianza media en que Fortinet está bajo mayor escrutinio de actores de amenaza o de investigadores en este período — la explicación alternativa que no podemos descartar es que simplemente haya mayor actividad de disclosure coordinado sobre productos de borde en general, no necesariamente mayor interés específico en Fortinet. Con la información que tenemos, son dos fuentes sobre este patrón (CISA y The Hacker News), de las cuales una sola es primaria (CISA); con una segunda fuente primaria o una tercera fuente cualquiera pasaríamos de indicio a patrón confirmado, y es un hilo que seguimos.

Por qué importa acá

FortiMail es uno de los gateways de seguridad de correo más desplegados en Chile: aparece en bancos, retail, salud y empresas medianas, frecuentemente instalado por el mismo canal de integradores que despliega FortiGate. Es habitual que su interfaz de administración quede accesible desde Internet, sobre todo en despliegues gestionados por terceros donde nadie revisó la exposición después de la puesta en marcha.

Un path traversal con explotación activa confirmada en un activo perimetral de correo es, por definición, de alta prioridad: el correo es la puerta de entrada más común para fraude (BEC) y malware, y un atacante con acceso al sistema que filtra ese correo tiene visibilidad privilegiada sobre comunicaciones internas.

Para organizaciones chilenas que son Operador de Importancia Vital bajo la Ley 21.663, si un FortiMail expuesto resulta comprometido, corresponde evaluar el deber de reporte a ANCI según los plazos y criterios que la ley establece — no citamos un plazo específico porque no lo verificamos para este caso puntual, pero la obligación de evaluación existe desde el momento en que se confirma actividad anómala, no desde que se confirma la brecha completa.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — La explotación activa reportada por CISA ocurre contra la interfaz expuesta de FortiMail; es el vector de entrada más probable dado que se trata de un path traversal en un activo perimetral.
• T1083 — Un path traversal exitoso típicamente se usa primero para enumerar archivos de configuración y credenciales antes de escalar; no confirmado para este caso específico, es el patrón esperado para esta clase de falla.

title: Posible explotación de path traversal en Fortinet FortiMail
id: e7a1c3f0-6b2d-4e9a-8f31-2c6d9a7b5e04
status: experimental
description: Detecta secuencias de path traversal en solicitudes HTTP dirigidas a dispositivos identificados como Fortinet FortiMail, consistente con intentos de explotar CVE-2026-104286.
references:
  - https://www.cve.org/CVERecord?id=CVE-2026-104286
  - https://www.cisa.gov/known-exploited-vulnerabilities-catalog
logsource:
  category: webserver
  product: fortinet
detection:
  selection_product:
    DeviceVendor: 'Fortinet'
    DeviceProduct|contains: 'FortiMail'
  selection_traversal:
    RequestURL|contains:
      - '../'
      - '..%2f'
      - '..%2F'
      - '%2e%2e/'
      - '..\\'
  condition: selection_product and selection_traversal
falsepositives:
  - Escaneos de vulnerabilidades autorizados contra el propio dispositivo
  - Integraciones legítimas que usan rutas relativas en parámetros de consulta
level: high

CommonSecurityLog
| where DeviceVendor == "Fortinet" and DeviceProduct has "FortiMail"
| where RequestURL has_any ("../", "..%2f", "..%2F", "%2e%2e/", "..\\")
| project TimeGenerated, DeviceVendor, DeviceProduct, SourceIP, RequestURL, DeviceAction
| sort by TimeGenerated desc

index=network sourcetype=fortinet:fortimail
| regex uri="(\.\.\/|\.\.%2[fF]|%2e%2e\/|\.\.\\\\)"
| table _time, dvc, src_ip, uri, action

Fuentes

• CISACISA Adds One Known Exploited Vulnerability to Catalog · 2026-10-01
• CVE.orgCVE-2026-104286 — CVE Record · 2026-10-01
• CISABinding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk · 2026-10-01
• The Hacker NewsCISA Flags Exploited Cisco, Citrix, Fortinet Flaws, Sets Sept. 12 Federal Patch Deadline · 2026-09-10
• CISACISA Adds Four Known Exploited Vulnerabilities to Catalog · 2026-09-09

Relacionado