Fortinet исправила в почтовом шлюзе FortiMail уязвимость класса "внедрение SQL-кода" (SQL-инъекция). Для эксплуатации нужна учётная запись в веб-почте: пользователь отправляет специально составленный запрос и получает возможность выполнять команды, на которые прав у него нет. Проблема затрагивает ветки 7.2, 7.4 и 7.6, версия 8.0 уязвимости не содержит. Рейтинг по CVSS 3.1 - 7.7, производитель относит её к уровню High. Сведений о применении в реальных атаках нет.
SQL-инъекция CVE-2025-57739 в FortiMail
Уязвимость сидит в компоненте графического интерфейса, а точнее в веб-почте. Приложение собирает запрос к базе данных из строк, которые приходят от пользователя, и не отделяет данные от команд. Злоумышленник подставляет такую конструкцию, что база данных принимает её за часть команды и исполняет. В результате он запускает произвольный код или команды за пределами своих полномочий. Производитель описывает последствие как повышение привилегий, категории присвоен идентификатор CWE-89.
Нашла проблему внутренняя команда Fortinet - Jaguar Perlas из подразделения Burnaby Infosec. Запись опубликована 13 октября 2026 года и получила номер FG-IR-26-184.
Под удар попадают сборки FortiMail 7.2.0-7.2.8, 7.4.0-7.4.5 и 7.6.0-7.6.3. Клиентам облачного сервиса FortiMail Cloud делать ничего не нужно: в первом квартале 2026 года проблему закрыли на стороне провайдера. Виртуального патча, который снял бы риск без обновления самого продукта, вендор не предлагает. Это значит, что промежуточного технического решения у администраторов нет, а единственный надёжный путь - переход на исправленную сборку.
Требование предварительной аутентификации сужает круг потенциальных атакующих, но не отменяет риск. Учётные данные веб-почты регулярно добывают целевым фишингом, а доступ к почте есть почти в каждой организации. Кроме того, уязвимость приводит к повышению привилегий, то есть обычный ящик становится ступенькой к более широким правам внутри шлюза. Почтовый сервер притягателен сам по себе: через него проходят письма, вложения, сведения об учётных записях и внутренние документы. Успешная эксплуатация даёт злоумышленнику доступ к переписке и возможность развивать атаку дальше по сети.
Исправленные сборки - 7.6.4 и выше, 7.4.6 и выше, 7.2.9 и выше. Номер ветки определяет, какую именно версию нужно ставить: обновление внутри линейки 7.6 не подойдёт владельцам 7.4 или 7.2, им нужны свои сборки. Пользователям FortiMail Cloud, как уже сказано, обновляться не требуется.
Администраторам, которые держат FortiMail на собственных серверах, следует обновить продукт до версии из списка. Пока обновление не установлено, риск снижают ограничением доступа к веб-почте из внешних сетей и пересмотром списка учётных записей с правом входа в веб-интерфейс: без действующей учётной записи эксплуатация невозможна. Полезно также проверить журналы веб-интерфейса на предмет необычных запросов от пользователей с малыми правами. Ветку 8.0 трогать по этой причине не нужно.
Внедрение SQL-кода остаётся одним из самых частых классов уязвимостей в веб-компонентах корпоративных продуктов, и почтовые шлюзы здесь не исключение. Веб-почта обрабатывает большой объём пользовательского ввода, а значит, мест для ошибок в обработке запросов к базе данных хватает. Оценка 7.7 говорит о серьёзной проблеме, но не о катастрофе: эксплуатация требует учётных данных и не носит массового характера, о чём косвенно свидетельствует отсутствие данных об атаках. Аутентифицированный вектор не означает низкий риск - он означает лишь, что вход в систему у атакующего уже есть, и дальше всё зависит от того, насколько быстро администраторы закроют эту лазейку.
Ссылки
