Fortinet alerte sur une faille zero-day critique de FortiMail activement exploitée

Fortinet a averti le 1er octobre 2026 ses clients qu'une vulnérabilité critique de sa solution de sécurité de messagerie FortiMail, référencée CVE-2026-104286, est activement exploitée dans des attaques réelles — la faille a depuis été ajoutée au catalogue des vulnérabilités exploitées connues (KEV) de l'agence américaine de cybersécurité CISA.

Une faille zero-day exploitée avant toute divulgation publique

Comme c'est souvent le cas pour les vulnérabilités zero-day critiques touchant des équipements de sécurité réseau, la faille CVE-2026-104286 de FortiMail était déjà exploitée par des attaquants avant que Fortinet n'en informe publiquement ses clients — un scénario qui laisse peu de temps aux équipes de sécurité pour réagir avant qu'un correctif ne soit disponible et appliqué.

L'inscription au catalogue KEV de la CISA, un signal de gravité supplémentaire

L'ajout de cette faille au catalogue des vulnérabilités exploitées connues (Known Exploited Vulnerabilities) de la CISA américaine constitue un signal de gravité reconnu au niveau fédéral — les agences gouvernementales américaines sont généralement tenues de corriger ce type de faille dans des délais contraints une fois qu'elle y figure.

FortiMail, une cible récurrente pour les attaquants en 2026

Ce n'est pas la première fois en 2026 qu'un produit de la gamme Fortinet fait l'objet d'une alerte de ce type — les passerelles de sécurité réseau et de messagerie restent des cibles privilégiées pour les attaquants en raison de leur position stratégique en bordure de réseau, souvent directement exposée sur internet.

Notre avis

Qu'une solution dont la fonction même est de sécuriser les communications par e-mail devienne elle-même le point d'entrée d'une attaque illustre un paradoxe récurrent de la cybersécurité : les équipements de sécurité périmétrique, précisément parce qu'ils sont exposés sur internet pour remplir leur rôle, deviennent des cibles de choix pour les attaquants cherchant un point d'entrée unique vers l'ensemble d'un réseau d'entreprise.

Sources

• Article Bleeping Computer