FortiMail nel mirino: una falla critica senza patch mette a rischio la posta aziendale

Chi usa FortiMail per filtrare la posta aziendale ha ricevuto in questi giorni una notizia che non piace a nessun amministratore: c’è una falla critica, viene già sfruttata, e Fortinet non ha ancora pubblicato una versione corretta.

L'1 ottobre l’agenzia statunitense CISA ha inserito la vulnerabilità nel suo catalogo delle falle sfruttate attivamente, con una scadenza di appena tre giorni per la pubblica amministrazione americana. Un segnale chiaro di quanto la situazione sia urgente, anche per chi non ha nulla a che fare con gli Stati Uniti.

Cosa sta succedendo

La vulnerabilità, identificata come CVE-2026-104286, ha un punteggio di gravità di 9.8 su 10, quasi il massimo possibile. Permette a un attaccante di colpire l’apparato senza alcuna credenziale: basta inviare una richiesta HTTP o HTTPS costruita ad arte perché FortiMail scriva un file fuori dalla cartella in cui dovrebbe restare confinato. Da lì, secondo le prime analisi tecniche, si arriva all’esecuzione di comandi sul sistema.

Sono interessate le versioni FortiMail comprese tra la 7.2.0 e la 7.2.9, tra la 7.4.0 e la 7.4.8, tra la 7.6.0 e la 7.6.6, e la 8.0.0-8.0.1. Il punto più delicato, però, è un altro: al momento non esiste ancora una build corretta da installare. Fortinet ha pubblicato solo delle contromisure temporanee, non la patch risolutiva.

Secondo quanto riportato da Security Affairs e dai primi approfondimenti tecnici circolati online, gli attacchi osservati sono reali, non solo teorici: qualcuno sta già provando a entrare da questa porta.

Perché un apparato anti-phishing diventa un rischio

C’è un paradosso che vediamo spesso in Security Smart: gli apparati comprati per proteggere la posta — filtro antispam, gateway di sicurezza email, sistemi anti-phishing — sono per loro natura esposti su Internet, perché devono ricevere la posta da tutto il mondo. Questo li rende un obiettivo particolarmente comodo per chi cerca un punto di ingresso.

FortiMail non è un prodotto per sole grandi aziende: lo troviamo installato anche in PMI, studi professionali e enti che si affidano a un fornitore IT esterno per la gestione della posta. Spesso chi lo usa non sa nemmeno che marca di apparato c’è dietro al servizio: lo gestisce il consulente, e va bene così, a patto che qualcuno stia davvero monitorando questo tipo di avvisi.

Chi viola un gateway di posta non legge solo le email: può intercettarle, inoltrarle altrove, modificarle, o usare l’apparato come trampolino verso il resto della rete aziendale.

Cosa fare, in pratica

• Verificate con il vostro fornitore IT se usate FortiMail e, se sì, quale versione. Non date per scontato di saperlo: chiedetelo esplicitamente, per iscritto.
• Applicate subito le mitigazioni indicate da Fortinet in attesa della patch: in particolare disattivare la funzione di Identity-Based Encryption (IBE) da riga di comando e, dove possibile, impedire che l’interfaccia di gestione dell’apparato sia raggiungibile da Internet.
• Non aspettate la patch per agire. Finché non esce una versione corretta, le uniche difese sono le contromisure temporanee: non rimandate la loro applicazione pensando “aggiorno appena possibile”.
• Controllate i segnali di compromissione. Fortinet ha pubblicato indicatori tecnici nel suo avviso ufficiale: fatevi aiutare da chi gestisce l’apparato per verificarli, soprattutto se è esposto su Internet da tempo.
• Tenete traccia di quando avete agito. Se l’apparato gestisce dati personali — e un server di posta aziendale quasi sempre lo fa — la data in cui avete applicato le mitigazioni è un’informazione che potrebbe servire per valutare un eventuale obbligo di notifica al Garante.

Matteo Gianniello — Consulente privacy e cyber security