Una vulnerabilidad de día cero crítica en Fortinet FortiMail (CVE-2026-104286) está siendo explotada activamente en la naturaleza y fue añadida por CISA a su catálogo Known Exploited Vulnerabilities (KEV). Calificada con un puntaje CVSS de 9.8, la falla permite a atacantes no autenticados escribir archivos arbitrarios en el sistema subyacente mediante solicitudes HTTP/HTTPS especialmente construidas. El problema se deriva de una combinación de traversal de rutas (path traversal) y manejo incorrecto de bytes NULL, lo que posibilita la modificación de archivos en dispositivos FortiMail sin necesidad de credenciales.

Fortinet publicó la vulnerabilidad el 1 de octubre y confirmó que ha sido explotada en entornos reales, aunque no ha detallado cuántos aparatos han sido comprometidos, cuándo empezaron las intrusiones ni quién está detrás. Dado que la funcionalidad vulnerable se expone a través de la interfaz web de gestión, las instancias con acceso desde Internet son especialmente peligrosas. Fortinet informó que está preparando correcciones en las ramas FortiMail 8.0.2, 7.6.7 y 7.4.9, y aconseja a usuarios de la rama 7.2 migrar a la 7.4 o superior.

CISA incluyó la CVE-2026-104286 en su catálogo KEV el mismo 1 de octubre, indicando evidencia de explotación activa; las agencias federales civiles de EE. UU. tienen un plazo corto para aplicar mitigaciones o parches. La combinación de explotación sin autenticación y la capacidad de escribir archivos convierte esta vulnerabilidad en un riesgo inmediato para la confidencialidad e integridad de sistemas de correo electrónico empresariales.

Fortinet ha publicado indicadores de compromiso (IOCs) y ejemplos de archivos añadidos o modificados en sistemas comprometidos; sin embargo, en el comunicado no se detallaron públicamente las direcciones IP ni los nombres de archivo en el resumen técnico disponible en este texto. No se ha atribuido la actividad a un actor específico.