Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-126150 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-12 |
| Producent | Fortinet |
| Produkt | FortiMail |
| Typ podatności | słaby mechanizm odzyskiwania hasła (CWE-640) |
| CVSS Score | 9.1 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Fortinet PSIRT
Podatność polegająca na słabym mechanizmie odzyskiwania zapomnianego hasła w Fortinet FortiMail 8.0.0, 7.6.0–7.6.5, 7.4.0–7.4.7 i 7.2.0–7.2.9 może pozwolić nieuwierzytelnionemu atakującemu na zresetowanie hasła dowolnego użytkownika webmail IBE i przejęcie jego konta za pomocą specjalnie spreparowanych żądań HTTP.
IBE (Identity-Based Encryption) to funkcja szyfrowania poczty FortiMail, w której odbiorcy zewnętrzni odczytują zaszyfrowane wiadomości przez portal webmail. Portal ten musi być dostępny z internetu, co zwiększa ekspozycję. Przejęcie konta daje dostęp do zaszyfrowanej korespondencji odbiorcy.
Wymagane działania
- Zaktualizuj FortiMail do wersji wskazanej w biuletynie Fortinet FG-IR-26-202.
- Jeśli nie używasz szyfrowania IBE, wyłącz je; jeśli używasz — do czasu aktualizacji monitoruj logi portalu IBE pod kątem resetów haseł i logowań z nietypowych adresów.
Kogo dotyczy?
Podatność dotyczy Fortinet FortiMail 8.0.0, 7.6.0–7.6.5, 7.4.0–7.4.7 i 7.2.0–7.2.9 z włączonym szyfrowaniem IBE. FortiMail to bramka bezpieczeństwa poczty e-mail, zwykle wystawiona do internetu (SMTP, webmail), stosowana w polskich firmach i instytucjach.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-126150?
CVE-2026-126150 to błąd słabego mechanizmu odzyskiwania hasła (CWE-640) w Fortinet FortiMail, który pozwala zresetować hasło dowolnego użytkownika webmail IBE i przejąć jego konto. Ocena CVSS: 9.1.
Czy do wykorzystania CVE-2026-126150 potrzebne jest uwierzytelnienie?
Nie. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika.
Jak zabezpieczyć się przed CVE-2026-126150?
Zaktualizować FortiMail zgodnie z biuletynem FG-IR-26-202 i ograniczyć dostęp do interfejsów urządzenia.
Kogo dotyczy CVE-2026-126150?
Organizacji korzystających z FortiMail 7.2.0–7.2.9, 7.4.0–7.4.7, 7.6.0–7.6.5 lub 8.0.0 z szyfrowaniem IBE.
