CISA Adds Fortinet FortiMail 0-day Vulnerability to KEV Following Active Exploitation
2026/10/05 CyberSecurityNews — 米国 Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、Fortinet FortiMail の深刻な脆弱性 CVE-2026-104286 の Known Exploited Vulnerabilities (KEV) カタログへの追加であり、実環境での悪用を警告するものである。FortiMail は、悪意のあるメールをフィルタリングし、企業のメッセージングシステムを保護するために、一般的にネットワーク境界へ導入されるメール・セキュリティ製品である。
未認証のリモート攻撃者は、脆弱な FortiMail アプライアンスへ細工した HTTP／HTTPS リクエストを送信することで、この脆弱性を悪用する可能性がある。悪用に成功すると、基盤となるシステムへ任意のファイルを書き込む恐れがある。
CVE-2026-104286 は、不適切な NULL バイトの無害化に起因するパス・トラバーサルの脆弱性であり、ファイルパスを操作する攻撃者により、意図されたディレクトリの外部にあるファイルへのアクセスや書き込みが行われる可能性がある。
Fortinet FortiMail のゼロデイ脆弱性の悪用
NULL バイトの処理の欠陥を悪用することで、攻撃者は不適切に処理されたファイル名を利用して、拡張子に依存する入力検証を回避する可能性がある。この脆弱性は CWE-22／CWE-158 に関連付けられている。攻撃者が任意のファイルを書き込んだ場合には、アプライアンスの設定やファイル権限に応じて、悪意のファイルの配置／設定の変更／永続性の確立などに加えて、後続の侵害に向けたシステムの準備が可能となる。
CISA は 2026年10月1日に、この脆弱性を KEV カタログへ追加し、影響を受ける FCEB 機関に対する修正期限を 2026年10月4日に設定した。同機関は、リスクに応じたセキュリティ・アップデートの優先順位を定める Binding Operational Directive 26-04 に基づき、連邦政府組織に対してベンダーが推奨する緩和策の適用を求めている。
CISA の CVE-2026-104286 に関する KEV エントリでは、この脆弱性とランサムウェアとの関連は示されていない。ただし、インターネットへ公開されたメール・セキュリティ・アプライアンスが悪用された場合には、影響の大きい初期アクセスにつながる可能性がある。
CISA は、この問題について BOD 26-04 に基づくフォレンジック・トリアージも求めている。また、有効な緩和策を利用できない組織に対して、クラウド・サービスに適用されるガイダンスに従うか、影響を受ける製品の使用を中止するよう勧告している。
FortiMail を使用する民間組織も、外部公開されているすべてのデバイスを特定し、影響の有無を確認した上で、Fortinet が指定するセキュリティ・アップデートと緩和策を適用し、ログ上で不審な HTTP／HTTPS リクエストを確認すべきである。セキュリティ・チームに求められるのは、予期しないファイルやシステム設定の変更／権限のないアカウント／通常とは異なる外向きのネットワーク通信についての調査である。
インターネットに公開されていることで、この脆弱性に対する無差別なスキャンや悪用の可能性が高まるため、外部からアクセス可能な FortiMail 環境への対応を優先する必要がある。
米 CISA により、Fortinet FortiMail の脆弱性 CVE-2026-104286 が KEV カタログに追加されました。本ツールは企業網の境界で電子メールを保護する役割を担うため、外部に公開されたアプライアンスが攻撃標的となる背景が存在します。入力値の無害化不備に伴うパス・トラバーサルが発生原因であり、攻撃者による任意ファイル配置／設定改ざん／永続化の確立などの被害が生じます。これに対し、影響対象デバイスの特定／修正プログラム適用／不正な通信ログ監視などの対応が求められます。
You must be logged in to post a comment.