Une faille de sécurité dans FortiMail, l’appareil de Fortinet qui filtre et distribue le courriel d’entreprise, a été publiée avec un score de 9,8 sur 10 selon la fiche NVD. Si cet appareil est en service chez vous, demandez dès aujourd’hui à votre prestataire informatique quelle version est installée.
C’est quoi ?
La vulnérabilité CVE-2026-126147 touche FortiMail. Selon la fiche NVD, elle pourrait permettre à une personne non authentifiée, c’est-à-dire sans compte ni mot de passe, de faire exécuter à l’appareil des commandes que personne n’a demandées.
La fiche NVD classe le problème comme une traversée de répertoire : le logiciel ne limite pas correctement les dossiers auxquels une demande venue de l’extérieur peut accéder. Pensez au dépanneur du coin : le comptoir est ouvert au public, mais la porte de l’arrière-boutique devrait rester fermée. Ici, le corridor mène plus loin qu’il ne devrait.
Pourquoi c’est grave ?
Le score est de 9,8 sur 10 (CVSS 3.1), attribué par l’organisme déclarant selon la fiche NVD. Aucune exploitation n’est signalée à ce jour dans cette fiche.
Ce niveau de gravité s’explique ainsi : aucun mot de passe n’est nécessaire, l’attaque viendrait du réseau, et la conséquence possible est l’exécution de commandes sur l’appareil. Sur le plan des affaires, plusieurs scénarios deviennent concevables, sans qu’aucun soit automatique : courriel d’entreprise interrompu le temps des vérifications, échanges contenant des renseignements de clients et d’employés lus ou détournés, terrain propice à la fraude au virement. Sept autres vulnérabilités touchant le même produit ont été publiées dans la même période, selon la fiche NVD. Le dossier se traite donc comme un chantier, pas comme un geste isolé.
Ça touche qui ?
Les versions touchées sont FortiMail 8.0.0 à 8.0.1, 7.6.0 à 7.6.6, 7.4.0 à 7.4.8, ainsi que toutes les versions 7.2, selon la fiche NVD.
FortiMail est une passerelle de courriel : un équipement installé devant les boîtes de courriel pour filtrer les pourriels et les pièces jointes suspectes. Nul ne devrait se croire exclu d’avance : seul votre prestataire informatique peut confirmer si un FortiMail est en service chez vous. La fiche NVD consultée ne précise pas de version corrigée, et nous ne tenons pas pour acquis qu’un correctif soit disponible : l’avis de sécurité Fortinet FG-IR-26-199 est la référence à consulter sur ce point.
Comment vérifier dans mon entreprise ?
Des questions simples suffisent, et aucune n’exige de compétence technique de votre part.
- Faire confirmer par le prestataire informatique si un FortiMail est en service, puis comparer sa version exacte aux versions listées dans la fiche NVD.
- Demander à l’intégrateur ou au fournisseur ce que l’avis Fortinet FG-IR-26-199 prévoit pour votre version, et faire consigner par écrit la suite retenue.
- Vérifier si l’interface d’administration, soit l’écran de réglages qui sert à configurer l’appareil, est joignable depuis Internet, et faire restreindre cet accès aux postes autorisés.
- Faire le point avec le fournisseur sur les autres vulnérabilités publiées pour FortiMail dans la même période.
Mise en situation
Exemple fictif : un cabinet comptable de région n’a pas traité l’avis portant sur sa passerelle de courriel.
Le dossier a été reporté en pleine période de production des états financiers. Un matin, le courriel ne sort plus. Le prestataire débranche l’appareil pour l’examiner, et la journée passe au téléphone. Deux jours plus tard, un client appelle : il a reçu une demande de changement de compte bancaire, partie de l’adresse du cabinet. Il faut alors prévenir les clients un par un, consigner l’incident et reprendre les échanges de la semaine.
Ce que la faille de sécurité dans FortiMail change pour une organisation du Québec
Une entreprise québécoise qui détient des renseignements personnels doit tenir un registre des incidents de confidentialité. Lorsqu’un incident présente un risque de préjudice sérieux, elle doit le déclarer à la Commission d’accès à l’information et aviser les personnes concernées, en vertu de la loi sur la protection des renseignements personnels dans le secteur privé. Une passerelle de courriel compromise touche directement ce périmètre, puisqu’elle voit passer contrats, factures et dossiers de clients. C’est donc une question de gouvernance autant que de technique.
Quoi faire maintenant
- Inventoriez vos équipements de courriel, notez la version en service et comparez-la aux versions touchées publiées par la NVD.
- Consultez l’avis Fortinet FG-IR-26-199 avec votre prestataire, en commençant par les appareils joignables depuis Internet.
- Limitez l’accès à l’interface d’administration aux seuls postes autorisés.
- Consignez la date de vos vérifications et des interventions dans votre registre interne.
FAQ
Nous n’utilisons pas FortiMail : sommes-nous concernés ?
Pas par cette vulnérabilité, qui touche uniquement les versions de FortiMail listées par la NVD. Le réflexe reste le même pour vos autres équipements exposés sur Internet : pare-feu, serveur de fichiers, portail d’accès à distance. Tenez une liste à jour de ces appareils, avec leur version et le responsable de leurs correctifs. Les contrôles de base du Centre canadien pour la cybersécurité proposent une marche à suivre adaptée aux petites organisations.
Aucune attaque n’est signalée : peut-on attendre ?
La fiche NVD ne mentionne aucune exploitation à ce jour, et nous le disons tel quel. Cet état peut toutefois changer sans préavis. Faites planifier la vérification dès maintenant, dans une fenêtre qui dérange peu vos opérations.
Une fois à jour, sommes-nous protégés ?
Vous aurez fortement réduit votre exposition à ce problème précis. Il n’existe pas pour autant de protection absolue, et aucun prestataire ne peut garantir un risque zéro : méfiez-vous de tout discours qui promet une protection totale. La suite tient aux gestes réguliers : le suivi des correctifs, l’authentification à deux facteurs (un code à usage unique en plus du mot de passe), des sauvegardes testées et un plan connu en cas d’incident.
Sources
- Fiche CVE-2026-126147 de la National Vulnerability Database · NIST, 11 novembre 2026
- Avis de sécurité (fortiguard.fortinet.com) · fortiguard.fortinet.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-126147
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
