==============================================================================
  CISA CONFIRMA EXPLOTACIÓN ACTIVA DE FALLA EN FORTIMAIL
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/fortinet-fortimail-path-traversal-explotacion-activa-kev-cisa
  Publicado:   2026-10-02  (hora de Chile)
  Ambito:      chile   ·   Criticidad: alta
  Descargado:  2026-10-12 07:00  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de evento y webmail de FortiMail (FortiAnalyzer o syslog reenviado)
  · Logs de acceso del firewall perimetral hacia el puerto de administración/webmail de FortiMail
  · CommonSecurityLog o DeviceNetworkEvents si FortiMail reporta al SIEM vía CEF/syslog

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Posible path traversal contra interfaz de FortiMail (CVE-2026-104286)
==============================================================================
  Requiere: Logs de FortiMail reenviados por syslog/CEF con el campo RequestURL o equivalente poblado; requiere que el dispositivo esté integrado al SIEM, no basta con los logs locales.

title: Posible explotación de path traversal en Fortinet FortiMail
id: e7a1c3f0-6b2d-4e9a-8f31-2c6d9a7b5e04
status: experimental
description: Detecta secuencias de path traversal en solicitudes HTTP dirigidas a dispositivos identificados como Fortinet FortiMail, consistente con intentos de explotar CVE-2026-104286.
references:
  - https://www.cve.org/CVERecord?id=CVE-2026-104286
  - https://www.cisa.gov/known-exploited-vulnerabilities-catalog
logsource:
  category: webserver
  product: fortinet
detection:
  selection_product:
    DeviceVendor: 'Fortinet'
    DeviceProduct|contains: 'FortiMail'
  selection_traversal:
    RequestURL|contains:
      - '../'
      - '..%2f'
      - '..%2F'
      - '%2e%2e/'
      - '..\\'
  condition: selection_product and selection_traversal
falsepositives:
  - Escaneos de vulnerabilidades autorizados contra el propio dispositivo
  - Integraciones legítimas que usan rutas relativas en parámetros de consulta
level: high

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Path traversal hacia FortiMail en Microsoft Sentinel
==============================================================================
  Requiere: Conector de CommonSecurityLog activo (Syslog vía AMA o conector CEF) recibiendo logs de FortiMail.

CommonSecurityLog
| where DeviceVendor == "Fortinet" and DeviceProduct has "FortiMail"
| where RequestURL has_any ("../", "..%2f", "..%2F", "%2e%2e/", "..\\")
| project TimeGenerated, DeviceVendor, DeviceProduct, SourceIP, RequestURL, DeviceAction
| sort by TimeGenerated desc

==============================================================================
  REGLA 3 de 3   ·   SPLUNK - SPL
  Path traversal hacia FortiMail en Splunk
==============================================================================
  Requiere: Sourcetype fortinet:fortimail configurado (TA de Fortinet para Splunk) o un sourcetype equivalente que parsee el campo uri de los logs de webmail/administración.

index=network sourcetype=fortinet:fortimail
| regex uri="(\.\.\/|\.\.%2[fF]|%2e%2e\/|\.\.\\\\)"
| table _time, dvc, src_ip, uri, action

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Escaneos de vulnerabilidades autorizados (pentest interno, herramientas de
  gestión de superficie de ataque) generan el mismo patrón de caracteres.
  Algunas integraciones legítimas de FortiMail con sistemas de archivos usan
  rutas relativas en parámetros, aunque es poco común. Se recomienda cruzar
  con la IP de origen contra rangos conocidos de herramientas de escaneo
  autorizadas antes de escalar como incidente.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================