FortiMailの脆弱性CVE-2026-104286が悪用、修正版の提供前に緩和策を

Fortinetのメールセキュリティ製品「FortiMail」に、認証なしで装置内へ任意のファイルを書き込める脆弱性が見つかり、実際の攻撃で悪用されている。識別番号はCVE-2026-104286で、FortinetによるCVSS 3.1の評価は9.8だ。2026年10月3日時点で修正版は提供予定とされており、影響を受ける組織には当面の緩和策と侵害の有無の確認が求められる。

■認証なしでファイルを書き込める脆弱性

Fortinetの告知によると、この脆弱性には、指定されたディレクトリの外へアクセスできる「パストラバーサル」と、NULL文字の処理に関する不備が関わる。細工したHTTPまたはHTTPSリクエストによって、攻撃者が基盤システム上のファイルを書き込むおそれがある。対象はFortiMailのWebインタフェースだ。

パストラバーサルは、ファイルの場所を示す文字列の扱いを悪用し、本来許可された範囲の外へアクセスする手法である。NULL文字は文字列の終端として扱われる場合があり、入力の解釈に差が生じる。Fortinetは両者を脆弱性の種類として挙げているが、攻撃に使われた具体的なリクエストや検証処理の詳細は示していない。

任意のファイルを書き込める場合、不正なプログラムの配置や設定ファイルの変更につながり得る。Fortinetは影響として、不正なコードやコマンドの実行を挙げている。メールを扱う装置であるため、運用者は装置そのものに加え、保存されたメールや関連する設定の異常にも注意を払う必要がある。

■対象バージョンと修正版の予定

Fortinetの告知表で影響対象とされたのは、FortiMail 8.0.0～8.0.1、7.6.0～7.6.6、7.4.0～7.4.8、7.2.0～7.2.9である。Fortinetの製品セキュリティチームに所属するGwendal Guégniaudが社内で発見し、同社は10月1日に告知した。

修正版として、8.0系には8.0.2、7.6系には7.6.7、7.4系には7.4.9が予定されている。10月3日時点でこれらは提供予定として案内されている。7.2系の利用者には、修正版が出る7.4系以降への移行が案内されており、移行先のバージョンも確認する必要がある。

なお、Fortinetが登録したCVE情報には7.0.0～7.0.9も影響対象として記載されている一方、セキュリティ告知の対象バージョン表には7.0系が載っていない。7.0系を運用する組織は、利用環境への影響と移行先をFortinetに確認したい。

■修正版の提供までに取る対策

Fortinetが示す緩和策の一つは、IDベース暗号（IBE）の無効化だ。CLIでは「config system encryption ibe」「set status disable」「end」の順に実行する。IBEは受信者のメールアドレスを利用し、相手が証明書や専用ソフトを事前に用意せずに暗号化メールを受け取れるFortiMailの機能で、無効化するとその機能を使った配送に影響する。

もう一つの緩和策は、管理インタフェースをインターネットからアクセスできないようにするか、信頼できるプライベートネットワークからのアクセスに限ることだ。運用中の装置のバージョンと公開状況を確認し、利用している機能に合わせてFortinetの案内に沿った対策を適用する。

Fortinetは、不審なファイルや通信先、ログの記録など、侵害を調べるための指標も公開している。管理者は告知に掲載された指標を使い、過去のログ、装置内のファイル、設定変更を確認できる。侵害の兆候があれば、緩和策の適用と並行して影響範囲を調査することが重要だ。

■CISAの登録と米連邦機関の期限

米サイバーセキュリティ・インフラ安全保障庁（CISA）は10月1日、この脆弱性を既知悪用脆弱性（KEV）カタログに追加した。米連邦文民行政機関に対する対処期限は10月4日で、CISAはFortinetの指示に沿った緩和策の適用と、侵害の痕跡を調べるフォレンジック調査を求めている。

この対応は、CISAが2026年6月に公表した拘束力のある運用指令BOD 26-04に沿うものだ。同指令は、装置のインターネットへの公開状況、KEV登録の有無などを踏まえて脆弱性への対応を優先付ける。適用対象は米連邦文民行政機関だが、CISAは民間組織にもKEVカタログを対応順位の判断材料として活用するよう勧めている。

■Fortinet製品をめぐる攻撃と運用上の備え

Fortinetのネットワーク境界向け製品は、過去にも攻撃の対象となっている。2026年6月には、FortiGateなどの認証情報の流出に関わる「FortiBleed」と呼ばれる活動についてCISAが注意を呼びかけた。CISAによると、流出した認証情報は約7万4000台のFortinet製機器に関連する。

また、セキュリティ企業Arctic Wolfは2026年5月、FortiClient EMSの脆弱性CVE-2026-35616が悪用され、Fortinetの更新プログラムを装った情報窃取型マルウェア「EKZ Infostealer」が配布されたと報告した。これらは今回のFortiMailの脆弱性とは別の事案だが、境界装置や管理基盤の設定と侵害履歴を継続的に点検する必要性を示している。

FortiMailを運用する組織は、影響対象のバージョンかどうかを確認し、緩和策を講じたうえで、Fortinetの告知にある侵害指標を調べたい。修正版の公開後は、利用中の系統に対応したバージョンへの更新を計画する。7.2系では、修正済みバージョンへの移行を見据えた準備が必要となる。

元記事: Hackers Backdoor Fortinet FortiMail Email Gateways With No Password; Patches Unavailable