FortiMail : le quai 7.2 ferme, et le 7.4 qu'on t'indique fume encore

Tu es sur le quai 7.2. Le haut-parleur est calme, presque poli. Il dit de changer de train, direction la branche 7.4. Tu traverses la passerelle, tu regardes le panneau d'en face, et le 7.4 que tu visais est encore dans la liste des quais ouverts au problème. Le train qui est vraiment fermé, lui, porte un numéro plus loin sur la même ligne.

Le 1er octobre 2026, Fortinet publie l'avis FG-IR-26-175, pour CVE-2026-104286. La page, au moment où je la lis, a été mise à jour le 7 octobre. La chronologie interne dit trois choses, et seulement trois : publication initiale le 1er, mise à jour des correctifs le 5, précision sur le cloud le 7. Je n'ai pas la page telle qu'elle était le matin du 1er. J'ai le panneau d'aujourd'hui.

Ce que le résumé dit, et ce qu'il ne dit pas

Le résumé parle d'une traversée de chemin (CWE-22) combinée à un octet nul mal neutralisé (CWE-158). Un attaquant non authentifié peut, via des requêtes HTTP ou HTTPS bricolées, écrire des fichiers arbitraires sur le système en dessous. Fortinet écrit que c'est exploité, et le champ « Known Exploited » est à oui. La note CVSS est en version 3, à 9,8. Sévérité : critique. Découvert en interne par Gwendal Guégniaud, de l'équipe Product Security. Le composant visé s'appelle GUI.

Le champ Impact, juste à côté, dit « exécuter du code ou des commandes non autorisés ». Ce n'est pas la même phrase que « écrire un fichier ». Les deux sont sur la page. Je ne les soude pas en une promesse de prise de contrôle. Écrire un fichier, c'est déjà trop sur une passerelle de messagerie. Le reste, c'est ce que tes journaux diront, pas ce que je vais inventer.

Le tableau, lu comme un horaire

Quatre lignes. Je les recopie dans l'ordre de l'avis.

• 8.0 : de 8.0.0 à 8.0.1, monter en 8.0.2 ou au-delà.
• 7.6 : de 7.6.0 à 7.6.6, monter en 7.6.7 ou au-delà.
• 7.4 : de 7.4.0 à 7.4.8, monter en 7.4.9 ou au-delà.
• 7.2 : de 7.2.0 à 7.2.9, « passer sur la branche 7.4 ou au-delà ».

La quatrième ligne est le piège de lecture. « La branche 7.4 » commence à 7.4.0. Or 7.4.0 jusqu'à 7.4.8 sont dans la colonne affectée, trois lignes plus haut. Pareil pour un 7.6 trop court, ou un 8.0.1. Le quai sûr, si tu pars de 7.2, c'est un 7.4.9 ou plus récent, ou une branche plus haute déjà corrigée (7.6.7, 8.0.2). Changer de numéro majeur sans regarder le dernier chiffre, c'est descendre sur le quai d'à côté pendant qu'il fume encore.

Le cloud, lui, a son propre panneau, ajouté dans la précision du 7 octobre. Fortinet écrit avoir corrigé FortiMail Cloud le 5 octobre, en passant les firmwares en 7.6.7 GA ou 8.0.2 GA. Les clients cloud n'ont rien à faire. Si ta boîte est chez eux, le quai n'est pas le tien. Si l'appliance est dans ton rack, si.

Le contournement, en attendant le bon train

L'avis demande d'appliquer un contournement. Le premier : couper le service IBE (le chiffrement basé sur l'identité), dans l'interface, sous Encryption, IBE, IBE Service sur off. Une commande CLI est aussi imprimée. Je ne la recopie pas : la syntaxe se lit sur l'avis, et une commande à moitié recopiée est pire qu'un bouton.

À côté, deux autres issues, si tu ne peux pas couper ça tout de suite. Retirer le webmail d'Internet, ou le limiter à un réseau privé de confiance. Ou, s'il y a un pare-feu applicatif devant, filtrer le chemin IBE selon la règle que Fortinet écrit sur l'avis. La règle exacte reste sur leur page. Un filtre mal recopié ouvre une autre histoire, celle où tu bloques le courrier légitime en croyant avoir fermé la porte.

Deux adresses sont listées comme indicateurs : 79.141.169.187 et 45.129.0.192. L'avis montre aussi des lignes de journaux, côté événements système et côté chiffrement. Je ne les rejoue pas. Les comparer aux tiens, c'est le travail. Les transformer en mode d'emploi, non.

✍️ À toi : la branche exacte de tes FortiMail, et si l'IBE sert encore à quelque chose chez toi. Sans ça, le quai 7.2 est une hypothèse, pas ton horaire.

Le haut-parleur a raison sur une chose : rester sur 7.2 n'est pas un plan. Il a tort si tu l'entends comme « n'importe quel 7.4 fera l'affaire ». Le panneau est entier. Il se lit jusqu'en bas.