Vulnerabilidad crítica en FortiMail permite ataques no autenticados

Recientemente, se ha descubierto una grave vulnerabilidad en FortiMail, un software de correo electrónico de la empresa Fortinet. Este fallo, identificado como CVE-2026-104286, permite a atacantes no autenticados escribir archivos de manera arbitraria en el sistema subyacente, lo que podría comprometer la seguridad de los datos. Fortinet ha señalado que este problema ya está siendo explotado activamente, lo que hace que sea crucial que los usuarios tomen medidas de inmediato.

Cómo funciona el ataque

La vulnerabilidad se produce debido a dos problemas técnicos: una limitación inadecuada de las rutas de acceso (path traversal) y la mala neutralización de bytes nulos. Esto significa que un atacante puede enviar solicitudes HTTP o HTTPS especialmente diseñadas para manipular el sistema y escribir archivos donde no debería. En términos sencillos, es como si alguien pudiera abrir una puerta que debería estar cerrada y dejar cosas dentro sin ser visto.

• Permite a atacantes no autenticados manipular archivos en el sistema.
• Se puede explotar a través de solicitudes de internet diseñadas específicamente.
• Afecta a múltiples versiones de FortiMail, incluyendo las 8.0.0 a 8.0.1 y varias más.

A quién afecta

Esta vulnerabilidad afecta principalmente a organizaciones que utilizan FortiMail para gestionar su correo electrónico. Las versiones vulnerables incluyen desde la 8.0.0 hasta la 7.2.9. Fortinet ha instado a sus clientes a actualizar a versiones más seguras que estarán disponibles pronto. Además, se recomienda desactivar ciertas características de seguridad hasta que se aplique un parche.

Qué significa esto para ti

Para los usuarios y empresas que utilizan FortiMail, es vital que actúen rápidamente. Se les aconseja aplicar las actualizaciones tan pronto como sean liberadas y, mientras tanto, seguir las recomendaciones de Fortinet para limitar el acceso a su sistema. Ignorar esta vulnerabilidad podría resultar en la pérdida de datos o en accesos no autorizados a información sensible.