CERT Polska ostrzegł 2 października przed aktywnie wykorzystywaną podatnością FortiMail, której wykorzystanie wymaga dostępu do interfejsu zarządzania. W chwili komunikatu poprawki nie były dostępne, a zalecenia obejmowały wyłączenie IBE i ograniczenie dostępu do zaufanych sieci. Na poniedziałek 5 października zadaniem właściciela FortiMail jest ustalenie stanu tych działań oraz zlecenie sprawdzenia, czy wcześniej doszło do włamania.

Czy odpowiedź „czekamy na poprawkę” mówi, kto odpowiada za dostęp do zarządzania FortiMail w czasie oczekiwania? Z komunikatu CERT Polska z 2 października wynika, że istniały zalecenia działań tymczasowych. W rozmowie z administratorem zacznij więc od ustalenia, co zrobiono z tymi zaleceniami, kto zatwierdził zmiany i jak sprawdzono ich wykonanie. Osobno zapytaj o ocenę śladów wcześniejszego włamania. Nie przyjmuj przy tym ani że ktoś już przejął urządzenie, ani że ograniczenie dostępu rozstrzygnęło jego historię. Do poniedziałkowego przeglądu przygotuj zapis wykonanych prac, brakujących ustaleń i osób odpowiedzialnych za odpowiedź. Dopiero takie informacje pozwalają ocenić reakcję własnej organizacji.

Dostęp do zarządzania jest warunkiem wykorzystania luki

Według CERT Polska w komunikacie z 2 października wykorzystanie podatności FortiMail wymaga dostępu do interfejsu zarządzania. Dla osoby nadzorującej działania oznacza to konkretny przedmiot kontroli: skąd można dotrzeć do tego interfejsu. Odpowiedź powinna opisywać rzeczywisty zakres dostępu do wskazanej instalacji. Sam zapis w procedurze o ograniczonym dostępie pozostaw do potwierdzenia przez administratora.

Poproś o wskazanie sieci, z których zarządzanie FortiMail jest dostępne, i porównanie tego wyniku z zaleceniem CERT Polska. Jeżeli dostęp ma obejmować wyłącznie sieci zaufane, zażądaj potwierdzenia, które sieci organizacja uznała za zaufane i kto zweryfikował ograniczenie. W ten sposób pojęcie „ograniczonego dostępu” otrzyma zakres możliwy do sprawdzenia.

Aktywne wykorzystywanie luki uzasadnia zajęcie się tą kontrolą bez odkładania jej do aktualizacji. Nie dowodzi jednak włamania do konkretnej instalacji FortiMail. Ustalenie dostępności interfejsu i ustalenie, czy doszło do kompromitacji, potraktuj jako odrębne zadania z osobnymi wynikami.

Przy FortiMail oczekiwanie na poprawkę powinno mieć właściciela, który potwierdzi rzeczywisty zakres dostępu do zarządzania.

Zalecenie wyłączenia IBE wymaga potwierdzenia wykonania

CERT Polska rekomendował wyłączenie IBE oraz ograniczenie dostępu do zaufanych sieci. W przeglądzie reakcji na ostrzeżenie uwzględnij oba zalecenia. Jeżeli zgłoszenie dotyczące FortiMail zawiera wyłącznie informację o oczekiwaniu na aktualizację, uzupełnij je o stan działań tymczasowych. Taki przegląd własnej procedury nie wymaga zakładania, że administrator cokolwiek zaniedbał; wymaga uzyskania odpowiedzi o wykonanej pracy.

Przy IBE zapisz, czy administrator wykonał zalecenie oraz kto i kiedy potwierdził stan funkcji. Jeżeli odpowiedzi jeszcze nie ma, wskaż osobę, która ją dostarczy. Jeśli zmiana pozostaje do zatwierdzenia, nazwij oczekującą decyzję i jej właściciela. Nie zamykaj zadania samym przekazaniem administratorowi komunikatu CERT Polska.

Zalecenie tymczasowe przedstawiaj z jego datą i zakresem. Informacja o braku poprawek dotyczyła chwili publikacji komunikatu z 2 października; na tej podstawie nie można potwierdzić ich niedostępności 5 października. Własny status aktualizacji ustal osobno. Osobie prowadzącej sprawę FortiMail przypisz także sprawdzenie dostępności poprawki i zapisanie daty uzyskania tej informacji.

Właściciel FortiMail powinien rozliczyć także sprawdzenie przeszłości

Z aktywnego wykorzystania luki wynika dla zarządu jedno zadanie więcej. Oprócz ograniczenia ekspozycji trzeba zlecić ocenę wcześniejszego włamania. Wynik kontroli obecnego dostępu do FortiMail nie odpowiada na pytanie, co działo się przed zmianą. Dlatego przy odbiorze prac poproś o osobną informację dotyczącą śladów kompromitacji, z zakresem sprawdzenia i wskazaniem jego ograniczeń.

Osoba odpowiedzialna za FortiMail powinna zebrać od wykonawców potwierdzenia dotyczące dostępu, IBE i weryfikacji śladów. Nie musi osobiście wykonywać każdej czynności, ale powinna umieć wskazać, która odpowiedź nadal nie nadeszła. Dla brakującego ustalenia zapisz wykonawcę i termin przekazania wyniku. Dzięki temu kierujący pracami będzie wiedział, o jaką konkretnie informację ma ponownie poprosić.

W raporcie dotyczącym FortiMail odróżniaj brak oznak w sprawdzonym zakresie od tego, że kontroli nie było. Jeżeli analiza jeszcze trwa, pozostaw ocenę wcześniejszego włamania jako nieustaloną. Nie przypisuj tej instalacji skutków ani kosztów incydentu, których nie potwierdzono. Do decyzji o dalszych pracach przedstaw zakres wymagający sprawdzenia oraz osobę odpowiedzialną za jego ocenę.

Potwierdzenie ograniczenia dostępu do FortiMail nie zamyka pytania o wcześniejsze włamanie.

Komunikat CERT Polska trzeba odnieść do własnej instalacji

Dla polskiego odbiorcy punktem odniesienia jest ostrzeżenie CERT Polska z 2 października. W poniedziałkowym przeglądzie połącz je z ustaleniami administratora dotyczącymi używanego FortiMail. Sam fakt publikacji ostrzeżenia nie mówi, czy zalecenia wdrożono w twojej organizacji. Tę odpowiedź trzeba uzyskać od osób prowadzących sprawę i odnieść do konkretnej instalacji.

W notatce dla zarządu zachowaj datę komunikatu obok dat potwierdzenia prac. Pozwoli to odróżnić informację CERT Polska o sytuacji z 2 października od późniejszych ustaleń dotyczących FortiMail. Na podstawie przywołanych faktów nie określamy liczby poszkodowanych organizacji w Polsce ani nie wskazujemy ofiar. Podstawą decyzji o własnych działaniach pozostają opisany warunek dostępu do zarządzania, aktywne wykorzystanie luki i zalecenia tymczasowe.

Co z tym zrobić w poniedziałek

Na każdy punkt przeznacz do 30 minut. Zbierz dostępne potwierdzenia dotyczące FortiMail, a brakującym ustaleniom przypisz wykonawcę i termin; pełna weryfikacja śladów wymaga osobnego zadania.

  1. Sprawdź potwierdzenie ograniczenia dostępu. Odszukaj wynik kontroli sieci, z których osiągalny jest interfejs zarządzania FortiMail. Porównaj go z zaleceniem dostępu z zaufanych sieci. Jeśli wyniku brakuje, skieruj do administratora zadanie jego ustalenia i wskaż właściciela działań tymczasowych.
  2. Ustal stan zalecenia dotyczącego IBE. Sprawdź, czy zapisano potwierdzenie wyłączenia funkcji. Zanotuj wykonawcę i datę albo brak odpowiedzi oraz osobę odpowiedzialną za jej uzyskanie. Do tego samego zgłoszenia dodaj zadanie sprawdzenia dostępności poprawki, z datą odczytu informacji.
  3. Zleć sprawdzenie śladów kompromitacji. Wskaż instalację FortiMail, wykonawcę i termin przedstawienia ustaleń. Poproś o wynik wraz z zakresem oraz ograniczeniami weryfikacji. Do otrzymania odpowiedzi oznacz ocenę wcześniejszego włamania jako nieustaloną, także jeśli działania tymczasowe już potwierdzono.

Oczekiwanie na poprawkę FortiMail powinno być okresem działań przypisanych konkretnemu właścicielowi. Warunek zakończenia tych prac musi obejmować udokumentowanie ograniczenia ekspozycji oraz wynik sprawdzenia wcześniejszego włamania. Każdą niewiadomą dotyczącą instalacji pozostaw widoczną do czasu jej rozstrzygnięcia.

Źródła

  1. CERT Polska: Krytyczna podatność w FortiMail aktywnie wykorzystywana w atakach, publikacja: 2 października 2026 r. Informacja o braku poprawek odnosi się do stanu opisanego w tym komunikacie.

Redakcja cyberinsight.pl.