FortiMail : une RCE pré-authentification sur le service POP3 (CVE-2026-44812) rejoint le CISA KEV
> En bref : Un débordement de tampon dans le service POP3 de FortiMail permet l'exécution de code à distance sans authentification (CVE-2026-44812, CVSS 8.8). CISA l'a inscrit dans la Known Exploited Vulnerabilities le 2 octobre 2026, deadline 30 octobre. Corrigé dans FortiMail 7.6.6 et 8.0.4. Une instance FortiMail est une passerelle de mail : le point d'entrée qui traite le courrier de toute l'organisation.
Pourquoi un service POP3 compte
FortiMail est une passerelle de messagerie : SMTP entrant/sortant, et accès aux boîtes via IMAP, POP3 et webmail. La plupart des organisations ferment le SMTP submission mais laissent les protocoles de boîtes ouverts — le POP3 sur le port 110, souvent sans TLS.
C'est exactement ce protocole qui est affecté : le service POP3 traite les échanges \USER\\/\\AUTH\\ avant l'authentification. Le débordement se joue dans le parse de la réponse \AUTH\\ — une séquence construite (STLS, USER, puis un token \AUTH\\ anormalement long) déborde un tampon du tas et redirige l'exécution.
Le PoC (PSIRT Fortinet, confirmé par l'éditeur) : RCE en root, sans aucune credential.
Ce que root sur la passerelle donne à l'attaquant
Une passerelle de mail est l'un des points d'entrée les plus riches d'une organisation — et historiquement l'un des moins testés.
Qui est affecté
Ce qu'il faut vérifier maintenant
AUTH\\ depuis des IP sources nouvelles dans les 7 derniers jours, fichiers inattendus dans \/var/tmp\\, nouveaux comptes locaux, processus non lancés par le service de messagerie.La leçon
Le mail est le seul flux de données où un acteur externe peut injecter du contenu (corps, pièces jointes) sur des chemins de protocole qui ont survécu à toutes les migrations. POP3, IMAP, EAS : plus le protocole est ancien, plus le parsing est un point faible probable. Quand un éditeur dit « service affecté = POP3 », la question à poser est : « le POP3 écoute encore, et pour qui ? »
Vous éditez un logiciel ? CleanIssue réalise des audits de sécurité pour votre produit en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.
Articles liés
Trois analyses proches pour continuer la lecture sur la meme surface de risque.
Citrix NetScaler : deux RCE pré-authentification, 50 277 instances exposées, deadline CISA le 30 septembre
CISA inscrit CVE-2026-88771 et CVE-2026-88772 dans la Known Exploited Vulnerabilities : exécution de code avant authentification sur NetScaler ADC et Gateway, CVSS 9.5. watchTowr a un PoC, GreyNoise a observé les premières exploitations le 24 septembre, et plus de 50 000 instances restent exposées.
Citrix NetScaler : CVE-2026-88779, une troisième RCE pré-auth qui touche aussi les builds patchés 88771/88772 — KEV CISA
CISA inscrit CVE-2026-88779 dans la Known Exploited Vulnerabilities : RCE pré-authentification par race condition dans le session manager du Web Interface, CVSS 9.1, affectant aussi les versions corrigées de 88771/88772. PoC de watchTowr, 43 812 instances encore exposées, deadline CISA le 30 octobre.
Palo Alto PAN-OS : CVE-2026-0322 exploitée, un patch sans contournement, et 3 jours pour les agences fédérales
CISA ajoute CVE-2026-0322 au KEV le 14 octobre : exécution de code sur l'interface de gestion de PAN-OS, exploitée dans des attaques limitées. Aucun contournement connu, correctifs par branche, date limite fédérale du 17 octobre.
Sources
Services associés
Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.
Red Team Agent Express
Savoir rapidement ce qu'un inconnu peut faire faire à votre agent. Rapport en 5 jours.
Red Team sur mesure
Plusieurs agents, des serveurs MCP ou des agents livrés par une agence : sur devis.
Le Shield
Le logiciel qui bloquera les actions non autorisées. En développement, accès anticipé pour les premiers clients.