El 1 de octubre CISA agregó CVE-2026-104286 al catálogo de vulnerabilidades explotadas, con plazo al 4 de octubre, o sea 3 días. Está en Fortinet FortiMail, la pasarela que filtra el correo antes de que llegue a los buzones, y lo que permite es de lo más directo que se puede leer en un aviso: "write arbitrary files on the underlying system via crafted HTTP or HTTPS requests". Escribir archivos en el sistema, sin autenticarse.
Fortinet le puso 9,8 crítica en su aviso FG-IR-26-175, publicado el 1 de octubre, y la frase sobre explotación no deja lugar a dudas ni a condicionales: "This has been reported to be exploited in the wild, customers are urged to apply the workaround below."
Esa última palabra es la novedad de la nota. Acá hay paliativo.
Fortinet publica un paliativo para FortiMail: apagar IBE
Vale marcar el contraste porque cambia qué se puede hacer hoy. La falla de Cisco SD-WAN Manager de ayer venía con la frase opuesta —no había solución alternativa— y lo único disponible era actualizar o esconder el equipo. Acá Fortinet ofrece algo concreto mientras se planifica la actualización.
El detalle más aprovechable está en cuál es el paliativo: apagar IBE, el cifrado basado en identidad, que es la función que permite mandar correo cifrado a alguien que no tiene nada instalado. Que el fabricante proponga apagar justamente eso dice bastante sobre dónde está el problema, y sobre todo dice algo práctico: si tu organización no usa IBE, apagarlo no te cuesta nada. Es una casilla, y muchas instalaciones la tienen activa sin usarla porque vino así.
Esa es la tarea de hoy. La actualización es la de esta semana.
Qué significa escribir archivos en el FortiMail que filtra tu correo
Conviene detenerse en el impacto, porque "escribir archivos" suena a menos de lo que es.
Escribir un archivo no es el objetivo final: es el punto de apoyo. Un archivo escrito en el lugar correcto del sistema se convierte en código que corre, y a partir de ahí el atacante está adentro del equipo. No es una inferencia mía sobre la gravedad: CISA clasifica el impacto técnico de esta falla como total, y la marca además como automatizable de punta a punta, que es la combinación que habilita el escaneo masivo.
Y lo que hace distinto a este equipo del resto es su posición. Una pasarela de correo ve todo el correo de la organización antes que nadie, en claro, porque su trabajo es justamente abrirlo para decidir si pasa. Además guarda la cola de mensajes, los certificados TLS y las credenciales con las que habla con el servidor de correo de atrás. Es el mismo razonamiento que el sitio hizo con la falla de root en Cisco Secure Email Gateway: el valor del equipo no está en el equipo, está en lo que pasa por él.
Las versiones corregidas, y la rama 7.2 que no tiene parche
La rama 7.2 repite exactamente la situación que apareció ayer con Cisco: no hay parche para tu rama, hay migración. Y una migración de rama en una pasarela de correo tiene una particularidad incómoda, que es que si el equipo se cae, el correo de la empresa se detiene. No es un servidor que se pueda reiniciar sin que nadie note.
Si estás en 7.2, la lectura honesta es la misma que ayer: una migración responsable no entra en 3 días, así que el plazo del 4 de octubre no lo vas a cumplir. Lo que sí podés hacer hoy es apagar IBE y cerrar el acceso a la administración, y agendar la migración con fecha.
CVE-2026-104286 tiene 6 dígitos, y eso rompe planillas y scripts
Una observación que parece anecdótica y tiene consecuencia práctica. El identificador de esta falla es CVE-2026-104286: seis dígitos en el número de secuencia, no cuatro ni cinco.
Dos aclaraciones para que el dato se pueda auditar. La primera, y es la importante: estos números son el máximo que aparece entre las vulnerabilidades explotadas, no la cantidad de identificadores asignados. Son un piso, no un total. La segunda: en el catálogo hay otras siete entradas con seis o más dígitos, pero todas pertenecen al bloque histórico de numeración alternativa del estilo CVE-2017-1000486, que era otro esquema. Esta es la primera donde el contador normal del año pasó las seis cifras. El salto respecto de 2025 es del 52%.
La consecuencia práctica no es filosófica: lo que suponga que un identificador de CVE tiene cuatro o cinco dígitos se rompe hoy. Una columna de ancho fijo en una planilla de seguimiento, una expresión regular en un script de inventario, un campo de formulario en un sistema de tickets, un informe que recorta el texto. Vale la pena probarlo con este identificador concreto antes de que aparezca en un informe mal cortado.
CISA y Fortinet no describen la misma falla
Una diferencia entre fuentes de las que este sitio viene anotando, y esta es jugosa. La ficha del CVE, cuyo texto es de Fortinet, describe un recorrido de rutas y le asigna CWE-22. El catálogo de CISA, en cambio, describe "a path traversal and an improper neutralization of NULL byte or NULL character vulnerability" y le asigna dos clases: CWE-22 y CWE-158.
O sea que CISA menciona explícitamente un componente de byte nulo que la descripción del fabricante en la ficha del CVE no nombra. El aviso de Fortinet sí lo menciona en su descripción, así que no es una contradicción, pero sí vale saber que la clasificación formal difiere según dónde se lea. Tener dos clases asignadas no es raro pero tampoco es la norma: pasa en 107 de las 1.731 entradas del catálogo.
Y una nota de continuidad honesta, porque toca algo que publiqué ayer. Ayer conté que la familia de fallas donde "dos componentes leen el mismo dato de forma distinta" es rara en el catálogo, con 5 entradas, y aclaré cuáles clases contaba. Un byte nulo que termina una cadena para un componente y no para otro es exactamente un primo de esa familia, y no estaba en la lista estricta que definí. La cuenta de ayer sigue siendo la que dije, precisamente porque dejé escrita la definición en lugar de hablar de "esta familia" en abstracto. Lo que corresponde agregar hoy es el dato nuevo: CWE-158 aparece apenas 4 veces en toda la historia del catálogo, y esta es una de ellas.
Otra cosa que se repite dos días seguidos: CISA marca esta falla como automatizable de punta a punta, igual que la de Cisco de ayer. Antes de esas dos, las tres anteriores que cubrió el sitio estaban marcadas como no automatizables.
¿A quién afecta CVE-2026-104286 de FortiMail?
A quien tenga Fortinet FortiMail en las versiones 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8, o 7.2.0 a 7.2.9.
Conviene ubicarlo en el historial del fabricante: Fortinet acumula 31 entradas en el catálogo, 8 de ellas este año, y la anterior a esta entró hace 22 días. No es un recién llegado a la lista.
Importa aclarar qué producto es, porque Fortinet tiene muchos y en la región el más común por lejos es el firewall. Tener un FortiGate no significa tener un FortiMail: son productos distintos y esta falla es solo del segundo. FortiMail aparece en organizaciones que decidieron filtrar el correo con un equipo propio en vez de un servicio en la nube, lo que suele ir junto con tener el servidor de correo también propio.
Si ese es tu caso, hay una pregunta previa que conviene hacerse de paso, porque un servicio en la nube no te deja un equipo propio que parchear contra reloj: el sitio compara las alternativas en la comparativa de seguridad de email para PyMEs y en email y antiphishing, con opciones como Mimecast o Proofpoint. No para cambiar hoy en medio de una urgencia, sino para la conversación que corresponde después.
¿Quién puede ignorar el aviso de FortiMail?
Quien no tenga el producto, incluso teniendo otros de la marca.
Quien ya esté en 8.0.2, 7.6.7 o 7.4.9, o superior.
Y una matización sobre el paliativo: apagar IBE es lo que el fabricante recomienda mientras no se pueda actualizar, pero no convierte el equipo en no vulnerable. Es reducción de riesgo con el problema todavía ahí. Quien apague IBE y dé el tema por cerrado se queda con una pasarela de correo sin parchear y con la tarea archivada, que es la peor combinación.
¿Cómo sé si mi FortiMail estuvo expuesto o comprometido?
Tres cosas, y la tercera es la que importa si las dos primeras dan mal:
- La versión, que se ve en el panel de administración del equipo y por línea de comandos. Comparala con los rangos de arriba según tu rama.
- Si la interfaz de administración era alcanzable desde internet. Esto se comprueba desde afuera de tu red, no desde el equipo. Con una falla sin autenticación y automatizable, si respondía desde internet, dala por escaneada.
- Si quedó algo. Fortinet publica indicadores de compromiso en FG-IR-26-175, que incluyen archivos agregados o modificados, direcciones concretas y entradas de registro de eventos del sistema sobre cambios de configuración no autorizados. No los reproduzco acá a propósito: son datos que conviene tomar del aviso del fabricante y no de una copia intermedia, porque un indicador mal transcripto sobre un equipo crítico hace perder tiempo o, peor, da tranquilidad falsa.
Lo que sí se puede decir sin copiar nada es qué forma tiene lo que hay que buscar: cambios de configuración que nadie del equipo reconozca, y archivos nuevos o modificados en el sistema con fecha dentro de la ventana en que el equipo estuvo sin parchear. Si encontrás cualquiera de las dos, el problema ya no es actualizar, y conviene tratar el equipo como comprometido, que es el camino largo.
¿Qué hago si tengo FortiMail?
Hoy, en este orden, y el orden está pensado para que lo que se puede hacer sin permiso de nadie vaya primero:
- Apagá IBE si no lo usás, desde la interfaz o por línea de comandos. Es el paliativo del fabricante, son minutos y no necesita ventana de mantenimiento.
- Cerrá el acceso a la administración desde internet y limitalo a las redes desde donde realmente administrás el equipo.
- Averiguá la versión y la rama, y buscá tu versión corregida. Si estás en 8.0, 7.6 o 7.4, es una actualización normal.
- Si estás en 7.2, asumí que no hay parche para tu rama y armá el plan de migración con fecha, con la precaución extra de que acá una caída detiene el correo de la empresa.
- Revisá indicadores con los datos del aviso del fabricante, para el período en que el equipo estuvo expuesto.
- Si usás IBE de verdad, apagarlo tiene costo real, así que esa es la instalación que más conviene actualizar primero en vez de paliar.
El encuadre de por qué las interfaces de administración son el blanco preferido está en las fallas explotadas de agosto, y los términos, en el glosario.
Preguntas frecuentes sobre CVE-2026-104286 y FortiMail
Tengo un FortiGate, no un FortiMail. ¿Me afecta?
No. Son dos productos distintos de la misma marca: el FortiGate es el firewall y el FortiMail es la pasarela de correo. Esta falla es únicamente de FortiMail, en las versiones que lista el aviso. Vale la aclaración porque la marca es muy común en la región y es fácil leer "Fortinet" y asumir lo propio.
Apagué IBE. ¿Puedo esperar tranquilo a la próxima ventana de mantenimiento?
Más tranquilo, pero no tranquilo. Apagar IBE es lo que recomienda el fabricante como paliativo mientras no se pueda actualizar, y reduce el riesgo de forma real. Lo que no hace es corregir la falla: el equipo sigue teniendo el código vulnerable. La diferencia práctica es que podés dejar de tratarlo como una emergencia de hoy y empezar a tratarlo como una actualización de esta semana, no de este trimestre.
¿Qué es IBE y cómo sé si lo usamos?
IBE es cifrado basado en identidad, y sirve para mandar un correo cifrado a alguien que no tiene ningún certificado ni programa instalado: el destinatario recibe un aviso y lee el mensaje a través de un portal. Si en tu organización nadie manda correo cifrado de esa forma a destinatarios externos, no lo usás, y entonces apagarlo no tiene costo. La forma de confirmarlo es revisar la configuración de la función en el equipo y preguntar a quien maneje los envíos sensibles, típicamente el área legal o la de facturación.
El puntaje 9,8, ¿lo puso NVD o Fortinet?
Lo puso Fortinet. En la ficha del CVE figura como puntaje secundario con la fuente del fabricante, y NVD todavía tiene la ficha en análisis pendiente. Es el mismo patrón que el sitio viene mostrando toda la semana: conviene saber quién escribió el número antes de comparar puntajes entre fabricantes.
Si la pasarela se comprometió, ¿tengo que asumir que leyeron el correo?
Es el supuesto prudente, sí. Una pasarela de correo procesa los mensajes en claro porque su función es inspeccionarlos, y además guarda la cola de mensajes y las credenciales con las que habla con el servidor de atrás. Un atacante con capacidad de escribir archivos y ejecutar código en ese equipo está en una posición privilegiada respecto del correo que pasó por ahí mientras estuvo comprometido. Lo que corresponde entonces no es solo actualizar: es rotar las credenciales y los certificados del equipo, y evaluar qué información sensible circuló en ese período.