Introducción
Desde el 1 de octubre de 2026, cualquier organización que opera FortiMail sin los últimos parches tiene una ventana de explotación completamente abierta a Internet. Ese día, Fortinet publicó el aviso FG-IR-26-175 sobre una vulnerabilidad activamente explotada en entornos reales, y la CISA incorporó simultáneamente CVE-2026-104286 a su catálogo de vulnerabilidades conocidas explotadas (KEV). Las agencias federales estadounidenses tuvieron hasta el 4 de octubre —72 horas— para aplicar un parche o una mitigación.
Qué significa realmente "escritura arbitraria de archivos"
La descripción oficial —"un atacante no autenticado puede escribir archivos arbitrarios en el sistema subyacente"— tiende a ocultar la verdadera gravedad de la situación. La falla combina dos debilidades: una ruta de archivo mal restringida (path traversal, CWE-22) y una neutralización defectuosa de caracteres NULL (CWE-158). Basta con una solicitud HTTP o HTTPS cuidadosamente construida, sin ninguna credencial válida, para desencadenar la escritura. Puntuación CVSS: 9,8 sobre 10.
FortiMail es una pasarela de seguridad de correo electrónico desplegada para analizar y filtrar toda la mensajería corporativa entrante y saliente. Su exposición en el perímetro de red —frecuentemente accesible de forma directa desde Internet para gestionar el tráfico SMTP entrante— la convierte en un objetivo prioritario para atacantes que buscan un punto de pivote discreto en el corazón de la infraestructura.
Indicadores que revelan un nivel de sofisticación elevado
Los indicadores de compromiso publicados por Fortinet ilustran el alcance real de los ataques documentados. Entre los archivos reportados como modificados o añadidos figuran: bibliotecas compartidas, la configuración del servidor web, binarios de servicio y, sobre todo, el archivo ld.so.preload.
Este último merece atención especial. Se trata de un archivo de configuración del cargador dinámico de Linux que fuerza la inyección de una biblioteca en cada proceso ejecutado en la máquina. Un atacante que logre escribir en él obtiene, en la práctica, persistencia a nivel de sistema: su código se ejecuta en todos los procesos, sobrevive a los reinicios de servicios y puede interceptar o manipular cualquier llamada al sistema. No estamos ante una intrusión discreta: es la instalación de un rootkit funcional en un equipo destinado a filtrar el correo electrónico de la organización.
Dos direcciones IP han sido asociadas a la explotación activa. Su presencia en los registros de conexión debe desencadenar una respuesta inmediata.
Versiones afectadas y parches disponibles
Las ramas afectadas abarcan una amplia ventana temporal:
- FortiMail 8.0.0 a 8.0.1 → actualizar a 8.0.2 o superior
- FortiMail 7.6.0 a 7.6.6 → actualizar a 7.6.7 o superior
- FortiMail 7.4.0 a 7.4.8 → actualizar a 7.4.9 o superior
- FortiMail 7.2.0 a 7.2.9 → migrar a la rama 7.4 como mínimo
Para los equipos que no pueden parchear de inmediato, Fortinet ofrece dos mitigaciones: deshabilitar la funcionalidad IBE (Identity-Based Encryption) desde la CLI y restringir el acceso a la interfaz de administración exclusivamente a redes privadas de confianza.
La pregunta que hay que hacerse antes que ninguna otra
Antes incluso de iniciar el proceso de actualización, hay una pregunta ineludible: ¿estuvimos expuestos, y desde cuándo? La publicación del parche no cierra el incidente para una organización que haya tenido su interfaz de gestión accesible desde Internet.
El análisis forense de los equipos potencialmente afectados —registros de conexión, integridad de archivos del sistema, verificación de las bibliotecas cargadas en memoria— es condición necesaria para una respuesta completa. Un equipo parcheado pero no analizado puede seguir albergando un implante silencioso, indetectable a simple vista. Esto es precisamente lo que el nivel de sofisticación observado en esta campaña sugiere: atacantes que no buscan únicamente el acceso inicial, sino la persistencia a largo plazo.