Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-126157 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-12 |
| Producent | Fortinet |
| Produkt | FortiMail |
| Typ podatności | nieprawidłowe uwierzytelnianie (CWE-287) |
| CVSS Score | 9.1 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Fortinet PSIRT
Podatność nieprawidłowego uwierzytelniania w Fortinet FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 i wszystkich wersjach 7.2 może pozwolić nieuwierzytelnionemu atakującemu na uzyskanie dostępu do kont bezpiecznej poczty (secure email) innych użytkowników za pomocą spreparowanych żądań HTTP.
Konta bezpiecznej poczty służą do odbierania zaszyfrowanych wiadomości przez portal webmail FortiMail, zwykle dostępny z internetu. Luka narusza poufność i integralność tej korespondencji.
Wymagane działania
- Zaktualizuj FortiMail do wersji wskazanej w biuletynie Fortinet FG-IR-26-209.
- Jeśli nie używasz szyfrowania IBE, wyłącz je; jeśli używasz — do czasu aktualizacji monitoruj logi portalu IBE pod kątem resetów haseł i logowań z nietypowych adresów.
Kogo dotyczy?
Podatność dotyczy Fortinet FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 i wszystkich wersji 7.2. FortiMail to bramka bezpieczeństwa poczty e-mail, zwykle wystawiona do internetu (SMTP, webmail), stosowana w polskich firmach i instytucjach.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-126157?
CVE-2026-126157 to błąd nieprawidłowego uwierzytelniania (CWE-287) w Fortinet FortiMail, który pozwala uzyskać dostęp do kont bezpiecznej poczty innych użytkowników. Ocena CVSS: 9.1.
Czy do wykorzystania CVE-2026-126157 potrzebne jest uwierzytelnienie?
Nie. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika.
Jak zabezpieczyć się przed CVE-2026-126157?
Zaktualizować FortiMail zgodnie z biuletynem FG-IR-26-209 i ograniczyć dostęp do interfejsów urządzenia.
Kogo dotyczy CVE-2026-126157?
Organizacji korzystających z FortiMail 7.2–8.0.1.
