Exploited Fortinet FortiMail Zero-Day Calls for Urgent Action
2026/10/02 SecurityWeek — 米国 Cybersecurity and Infrastructure Security Agency (CISA) と Fortinet は、FortiMail の重大な脆弱性 CVE-2026-104286 (CVSS 9.8) に関する情報を公表し、実環境で悪用されていると警告したが、現時点で、この脆弱性に対するパッチはリリースされていない。このゼロデイ脆弱性は、パストラバーサルおよび NULL バイトまたは NULL 文字の不適切な無害化に起因する。これを悪用する攻撃者は、基盤となるシステムへ任意のファイルを書き込む恐れがあり、細工した HTTP／HTTPS リクエストを介して、任意のコードやコマンドを実行する可能性がある。
Fortinet は、このセキュリティ上の欠陥を説明するためのアドバイザリを公開している。組織に対しては、IBE 機能を無効化すること、Web 経由の FortiMail 管理インターフェイスへのアクセスを遮断することに加えて、信頼できる接続元だけにアクセスを制限することを推奨している。
また、この脆弱性が実環境で悪用されているとの報告を受け、顧客に対して回避策を適用するよう求めるとともに、セキュリティチームが潜在的な侵害を調査する際に有用な、侵害の痕跡 (IoC) を公開した。
10月1日 (木)、CISA は脆弱性 CVE-2026-104286 を Known Exploited Vulnerabilities (KEV) カタログに追加し、BOD 26-04 に基づくかたちで連邦政府機関に 3日以内の対応を求めている。
Fortinet によると、この脆弱性は社内で発見されたものであり、FortiMail 7.2.0〜7.2.9／7.4.0〜7.4.8／7.6.0〜7.6.6／8.0.0〜8.0.1 に影響する。同社によると、修正は今後リリースされる FortiMail 7.4.9／7.6.7／8.0.2 に含まれる予定だが、リリース時期は明らかにされていない。
Fortinet と CISA は、確認された攻撃の詳細を明らかにしていない。
Fortinet FortiMail で未修正のゼロデイ脆弱性 CVE-2026-104286 が確認され、CISA KEV カタログに追加されました。入力値の無害化不備に起因して任意のファイル書き込みやコード実行を許す点が問題背景にあります。この影響として基盤システムの乗っ取りやデータ改ざんの恐れがあり、パッチ公開までの対応策として IBE 機能の無効化／Web 管理画面の遮断／信頼できる接続元への制限などの回避策適用／IoC を用いた侵害調査が求められます。
You must be logged in to post a comment.