FortiMail exposé : mesurer le risque sur Internet
3 911 empreintes FortiMail et 5 322 titres repérés : comprenez ces chiffres, évaluez votre exposition à CVE-2026-104286 et vérifiez vos accès.
FortiMail exposé sur Internet : ce que révèlent vraiment les scans
Une passerelle de messagerie n'est pas un équipement « secondaire ». Elle traite des courriels entrants, applique des règles de sécurité et peut stocker des données. Et si son interface d'administration est accessible depuis Internet, elle devient aussi une cible atteignable. C'est dans ce cadre qu'il faut lire les chiffres autour de FortiMail : d'après une recherche réalisée sur ZoomEye le 4 octobre 2026, 3 911 hôtes portaient une empreinte applicative FortiMail, tandis que 5 322 correspondaient à un titre de page « FortiMail ».
Attention toutefois : ces totaux ne signifient pas que 5 322 appareils sont vulnérables. Les résultats ne donnent ni la version exacte, ni la configuration, ni l'existence d'un filtrage en amont. Ils montrent surtout qu'il existe, vue de l'extérieur, une population de systèmes identifiables. Et de ce point de vue, l'avis publié par Fortinet (FG-IR-26-175) concernant CVE-2026-104286 n'est pas anodin : une vulnérabilité de gravité 9,8 liée à l'écriture de fichiers via traversée de répertoires. Le 1er octobre 2026, la CISA l'a ajoutée à son catalogue des vulnérabilités exploitées.
Pour une équipe informatique, le point n'est donc pas de « transformer » un scan en diagnostic. Le bon usage, c'est de s'en servir comme point de départ : vérifier l'exposition réelle, confirmer les versions installées et réduire les accès inutiles.
Ce que mesurent les chiffres ZoomEye
Les deux nombres publiés ne viennent pas du même type de recherche. La première requête, app="FortiMail", renvoie 3 911 correspondances. Elle s'appuie sur une identification applicative déduite de réponses observées sur les services exposés. La seconde, title="FortiMail", renvoie 5 322 correspondances, en repérant des pages dont le titre contient ce nom.
Ces méthodes répondent à une question assez précise : quels hôtes visibles dans l'index de ZoomEye présentent des signaux associés à FortiMail ? En revanche, elles ne répondent pas à la question qui compte vraiment côté entreprise : combien de mes équipements sont réellement vulnérables et exploitables ?
Deux signaux, deux limites différentes
Une empreinte applicative peut ne pas reconnaître une variante, ou une réponse modifiée par un équipement intermédiaire. À l'inverse, un titre de page peut contenir « FortiMail » sans que le scanner puisse confirmer, avec la même certitude, le produit derrière cette page. Un proxy, un portail d'accès ou une configuration particulière peuvent aussi changer ce qui apparaît.
Du coup, l'écart entre 3 911 et 5 322 n'a rien d'un « problème » à corriger par une moyenne. Il reflète simplement deux critères d'observation distincts. Certains hôtes peuvent satisfaire l'un des critères sans satisfaire l'autre. Et le total le plus élevé n'est pas, à lui seul, une estimation plus juste de « l'ensemble » des FortiMail déployés.
Il faut aussi garder une autre réalité en tête : ce que ZoomEye ne voit pas. Un FortiMail placé derrière un pare-feu strict, un proxy inverse ou un portail authentifié peut rester absent de l'index, même s'il existe bien dans votre système d'information. Un scan public n'est donc pas un inventaire de parc.
Une photographie datée, pas un inventaire
Les deux totaux ont été relevés le 4 octobre 2026. Ils décrivent l'index tel qu'il était à cette date, et selon les requêtes utilisées. Entre-temps, l'index peut évoluer, des adresses IP peuvent changer et les réponses des services peuvent être modifiées par les équipes d'exploitation. Les chiffres servent donc de photographie de la surface observée, pas de mesure durable.
Je trouve utile de résumer ça simplement : la visibilité externe montre un signal ; l'inventaire interne permet de qualifier l'exposition réelle. ZoomEye aide à repérer une interface qui répond publiquement. Mais il ne peut pas, à lui seul, confirmer la version du micrologiciel, le niveau de correctifs ni les contrôles d'accès mis en place après coup.
Pourquoi l'exposition compte pour FortiMail
FortiMail est une passerelle de sécurité de messagerie. Son rôle implique qu'il gère des flux de courriels et qu'il applique des politiques. Autrement dit : ce n'est pas un composant « decoratif », surtout quand son interface d'administration est accessible depuis Internet. Dans ce cas, l'équipement reçoit plus d'attention de la part du monde extérieur - ce qui suffit déjà à justifier un examen sérieux, même si aucune vulnérabilité n'est pointée au moment du scan.
Le contexte autour de CVE-2026-104286 rend la question plus urgente. L'avis Fortinet FG-IR-26-175 décrit une vulnérabilité de gravité 9,8 liée à une traversée de répertoires permettant d'écrire des fichiers. La CISA l'a ajouté à son catalogue KEV (Known Exploited Vulnerabilities) le 1er octobre 2026 : autrement dit, une vulnérabilité considérée comme exploitée. Dans la pratique, ça pousse à évaluer rapidement les systèmes concernés.
La vulnérabilité ne suffit pas à prouver l'exploitabilité
Une gravité élevée indique un risque potentiel, mais elle ne prouve pas qu'un appareil visible est compromis, ni même qu'il est vulnérable dans votre environnement. Pour évaluer le risque « chez vous », il faut recouper au moins :
- la version exacte du micrologiciel ;
- les versions corrigées (ou mesures) décrites dans l'avis du fournisseur ;
- le fait que l'équipement et son interface d'administration sont joignables depuis le réseau ;
- les contrôles d'accès, les règles de filtrage et l'architecture qui protègent l'accès ;
- les éléments disponibles pour détecter un comportement anormal.
Les résultats ZoomEye apportent surtout un premier niveau : un service associé à FortiMail semble visible de l'extérieur. Ils ne permettent pas de conclure sur le niveau de correctif ni sur l'état de sécurité de l'hôte. La conclusion « propre » n'est donc pas « ces milliers d'équipements sont vulnérables », mais « il existe une population visible qu'il faut qualifier ».
Le risque se joue dans la combinaison des facteurs
Dans la réalité, l'urgence dépend de plusieurs éléments mis ensemble : vulnérabilité, version concernée, exposition réseau et protections en place. Un système vulnérable dont l'interface d'administration est cantonnée à un réseau de gestion n'a pas le même profil qu'un système vulnérable accessible publiquement. Ça ne « innocente » pas le premier, mais ça change clairement les conditions d'accès et, donc, l'ordre des priorités.
La visibilité publique reste un indicateur utile : elle permet de tester depuis l'extérieur une hypothèse du type est-ce que notre équipement publie une identité FortiMail ? Mais ça ne remplace ni un contrôle depuis le réseau interne, ni une vérification dans la console de gestion. C'est exactement la différence entre mesurer une surface d'attaque et établir un diagnostic technique.
Comment évaluer le risque dans votre organisation
Le plus efficace consiste à croiser données externes et données internes. Commencez par retrouver tous les FortiMail présents dans vos inventaires : y compris ceux gérés par un prestataire ou installés dans une filiale. Les passerelles sont parfois pilotées par l'équipe réseau, tandis que le suivi des vulnérabilités dépend plutôt de la sécurité. Si personne n'a la responsabilité claire de l'actif, la réponse peut traîner.
Étape 1 : établir un inventaire fiable
Recensez les équipements, leurs adresses, leur rôle, leur propriétaire opérationnel et la version de micrologiciel. Vérifiez aussi les environnements de production, de secours et de test. Un appareil « oublié » ou maintenu temporairement peut rester exposé longtemps après la fin d'un projet.
Et ne vous limitez pas aux machines que tout le monde connaît déjà. Comparez le registre d'actifs avec ce que vous avez dans les consoles d'administration, les outils de gestion réseau et les contrats d'hébergement. Si un actif repéré depuis l'extérieur laisse un doute, faites confirmer le propriétaire avant de tirer une conclusion basée uniquement sur un nom d'hôte ou une adresse IP.
Étape 2 : vérifier ce qui est accessible publiquement
Repérez les adresses publiques liées à votre organisation dans les outils de visibilité externe que vous utilisez. Les requêtes ZoomEye mentionnées dans la publication - app="FortiMail" et title="FortiMail" - peuvent aider à détecter une présence indexée. Mais traitez chaque correspondance comme une piste : pas comme une preuve.
Pour chaque résultat pertinent, vérifiez si l'équipement est bien le vôtre, quel service répond, et si l'interface d'administration est accessible depuis des réseaux non maîtrisés. Une adresse appartenant à un prestataire, à un ancien hébergement ou à un service partagé peut créer de faux rapprochements. Cette vérification évite d'ouvrir un incident sur un actif mal attribué.
Étape 3 : contrôler les versions et les consignes du fournisseur
La vérification du micrologiciel doit se faire via la console d'administration ou une source interne fiable. Un index public ne « lit » pas votre version. Prenez l'avis Fortinet FG-IR-26-175 pour identifier les versions concernées et les versions corrigées (ou mesures recommandées). Ne déduisez pas une situation « sûre » parce que l'équipement apparaît (ou disparaît) de ZoomEye.
Si l'équipement est concerné, appliquez le plan de mise à jour et les mesures de réduction du risque publiés par le fournisseur. Organisez l'intervention selon vos contraintes : sauvegarde de configuration, validation de la fenêtre de maintenance, tests des flux de messagerie et procédure de retour arrière. Une mise à jour, c'est une opération de production. Pas une case à cocher.
Étape 4 : évaluer l'accès et les signes d'activité anormale
Déterminez si l'interface d'administration doit vraiment être joignable depuis Internet. Dans beaucoup d'environnements, elle peut être limitée à un réseau de gestion, à un VPN ou à des plages d'adresses autorisées. Tout dépend de votre architecture et de vos besoins d'exploitation : l'objectif reste de réduire l'exposition sans bloquer les opérations légitimes.
Si un équipement potentiellement vulnérable a été accessible publiquement, vérifiez les journaux et les alertes disponibles selon votre configuration. En cas de signal suspect, impliquez l'équipe de réponse à incident et préservez ce qui peut servir à l'analyse. Une mise à jour corrige une vulnérabilité : elle ne prouve pas qu'il n'y a jamais eu d'activité avant.
Plan d'action pour les équipes techniques
Un chiffre de scan ne vaut pas grand-chose s'il ne débouche sur aucune action. Le traitement peut s'organiser autour de quatre décisions simples : assez concrètes pour éviter l'inaction, mais assez prudentes pour ne pas conclure trop vite.
- Qualifier l'actif. Confirmez qu'il s'agit bien d'un équipement de votre organisation et identifiez son responsable.
- Établir l'exposition. Vérifiez depuis quels réseaux le service et l'administration sont accessibles, et quels contrôles sont en place.
- Déterminer le statut de sécurité. Comparez la version installée aux informations officielles de Fortinet concernant CVE-2026-104286.
- Traiter et vérifier. Appliquez les mesures requises, testez les fonctions de messagerie, puis recontrôlez l'exposition externe.
Réduire l'exposition sans casser l'exploitation
Restreindre l'accès à l'administration à des réseaux de confiance est souvent une bonne idée, quand vos contraintes opérationnelles le permettent. Mais un filtrage mal préparé peut couper l'accès à une équipe d'astreinte ou à un prestataire qui maintient l'équipement. Documentez les sources d'accès légitimes, testez le changement et prévoyez un mode de secours contrôlé.
La même logique s'applique aux mises à jour. Repousser un correctif sans échéance claire parce que le service est critique crée une dette de sécurité. À l'inverse, mettre à jour « vite » sans vérifier les dépendances ni tester les fonctions de base peut provoquer une interruption évitable. Le compromis à viser : réduire l'exposition rapidement, planifier le changement selon le risque, puis confirmer le résultat après intervention.
Utiliser la visibilité externe comme contrôle complémentaire
Les outils qui donnent une vision des actifs exposés sont surtout utiles quand l'inventaire interne est incomplet ou quand plusieurs équipes gèrent des périmètres différents. Ils apportent un point de vue externe, indépendant de votre documentation interne. C'est précisément leur intérêt dans ce contexte.
Mais ils ne doivent pas devenir votre unique source de vérité. Un résultat absent ne prouve pas que l'équipement n'existe pas : il peut être filtré ou simplement non indexé. Un résultat présent ne dit pas automatiquement quelle version tourne ni quelle configuration est en place. D'où la nécessité d'associer contrôles externes et revue régulière des actifs, gestion des versions et procédure de traitement des vulnérabilités.
Pour suivre ce sujet, consultez les sources primaires : l'avis de sécurité Fortinet FG-IR-26-175 et le catalogue des vulnérabilités exploitées de la CISA. Les chiffres ZoomEye cités ici proviennent de l'analyse publiée le 4 octobre 2026 : FortiMail sur l'Internet ouvert.
Conclusion : passer du signal au diagnostic
Les chiffres publiés par ZoomEye - 3 911 empreintes applicatives et 5 322 titres FortiMail - donnent une indication sur la population observable depuis Internet au 4 octobre 2026. Ils ne permettent pas, à eux seuls, d'estimer le nombre d'appareils vulnérables. Pour aller plus loin, il faut relier cette exposition externe à votre inventaire, aux versions installées et aux mesures de protection.
Avec CVE-2026-104286 inscrite au catalogue KEV de la CISA, la démarche raisonnable est assez concrète : identifiez vos FortiMail, vérifiez les versions au regard de l'avis Fortinet, limitez l'administration lorsque c'est possible, puis recontrôlez l'exposition depuis l'extérieur. Commencez par comparer vos actifs connus aux signaux publics, puis attribuez clairement un responsable et une échéance pour chaque équipement concerné. Un scan, c'est un point de départ. La maîtrise du risque passe surtout par ce qui suit.