ช่องโหว่ zero-day วิกฤตใน FortiMail (CVE-2026-104286 CVSS 9.8) ถูกใช้โจมตีจริง — เขียนไฟล์บนระบบได้โดยไม่ต้องยืนยันตัวตน CISA สั่งแพตช์ด่วน
หน่วยงาน CISA เพิ่มช่องโหว่วิกฤตใน Fortinet FortiMail (CVE-2026-104286, CVSS 9.8) เข้าบัญชี KEV หลังพบการโจมตีจริง ช่องโหว่เป็นแบบ path traversal ร่วมกับ NULL byte ที่เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเขียนไฟล์ใด ๆ บนระบบผ่านคำขอ HTTP/HTTPS ที่ปรุงแต่งไว้ กระทบ FortiMail หลายเวอร์ชันตั้งแต่ 7.2 ถึง 8.0 บริษัท Fortinet ยอมรับว่าถูกโจมตีในวงจริงและออกวิธีแก้ชั่วคราว ขณะ CISA สั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 4 ตุลาคม 2026