Fortinet раскрыла уязвимость CWE-78 в FortiMail (CVSS 7,2): аутентифицированный администратор мог через специально сформированные HTTP-запросы выполнять команды ОС с правами root.
Мнение эксперта
- Для российского рынка риск выше: часть заказчиков осталась на FortiMail из-за инерции, а официальная поддержка и обновления ограничены, поэтому патч нужно ставить вручную и фиксировать в регламенте.
- Практический вывод интегратору — проверить версии FortiMail в парках клиентов, закрыть веб-интерфейс администратора из внешних сетей и предложить план миграции на альтернативный почтовый шлюз.
- Уязвимость требует прав администратора, так что ключевая мера — ужесточение привилегий и MFA для админ-доступа, а не только срочный апдейт.
