Fortinetの「FortiMail」に深刻なゼロデイ脆弱性、米CISAが悪用確認を受けカタログに追加

要点

• 米CISAが、Fortinetのメールセキュリティ製品「FortiMail」に存在する深刻なゼロデイ脆弱性（CVE-2026-104286）を「悪用が確認された脆弱性（KEV）」カタログに追加した。

• 脆弱性のCVSSスコアは9.8と極めて高く、認証を受けていない遠隔の攻撃者がシステム上に任意のファイルを書き込める恐れがある。

• FortiMailのバージョン7.2系から8.0系にわたる広範な環境が影響を受け、Fortinetは実際のサイバー攻撃での悪用を確認している。

• FortinetはIBE機能の無効化や管理画面へのアクセス制限などの回避策を公開し、今後の修正バージョンへの更新を呼びかけている。

• CISAは米連邦文民行政府（FCEB）機関に対し、2026年10月4日までにパッチの適用または回避策の実施を完了するよう指示を出した。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年10月1日、Fortinetが提供するメールセキュリティ製品「FortiMail」における深刻な脆弱性が実際の攻撃で悪用されているとして、同庁の「悪用が確認された脆弱性（KEV）」カタログに追加した。

• この脆弱性は「CVE-2026-104286」として識別されており、共通脆弱性評価システム（CVSS：情報システムの脆弱性の深刻度を評価する国際基準）のスコアは10点満点中9.8と判定されている。Fortinetもアドバイザリを公開して野生での悪用（in the wild：実環境での攻撃活動）を認めるとともに、影響を受けるバージョンや暫定的な回避策、攻撃の痕跡となる指標を公表した。

脆弱性の詳細と攻撃の手口

Fortinetが公開したアドバイザリによると、CVE-2026-104286は細工されたHTTPまたはHTTPSリクエストを処理する際に発生するという。本脆弱性は、制限された領域外へのパス指定を許してしまう「パストラバーサル（CWE-22：意図しないディレクトリへのアクセスを可能にする欠陥）」と、NULL文字の処理不備である「NULLバイトまたはNULL文字の不適切な無害化（CWE-158）」の組み合わせに起因していると説明されている。

攻撃者はこの不備を突くことで、ユーザー認証を経ることなく、基盤システム上の任意の場所にファイルを書き込むことが可能になる。パストラバーサルによって本来保護されているディレクトリへ到達し、NULL文字によってファイル名や拡張子の検証処理を迂回する手法が用いられているとみられる。

なお、本脆弱性はFortinetの製品セキュリティチームに所属するグウェンダル・ゲグニョー（Gwendal Guégniaud）氏によって発見・報告された。

影響を受けるバージョンと更新の案内

本脆弱性は、FortiMailの複数のメジャーバージョンに影響を及ぼす。Fortinetが公表した影響範囲と推奨される対処は以下のとおりである。

• FortiMail 8.0系: バージョン8.0.0から8.0.1が影響を受ける（今後リリース予定のバージョン8.0.2以上へのアップグレードが推奨される）。
• FortiMail 7.6系: バージョン7.6.0から7.6.6が影響を受ける（今後リリース予定のバージョン7.6.7以上へのアップグレードが推奨される）。
• FortiMail 7.4系: バージョン7.4.0から7.4.8が影響を受ける（今後リリース予定のバージョン7.4.9以上へのアップグレードが推奨される）。
• FortiMail 7.2系: バージョン7.2.0から7.2.9が影響を受ける（7.4系以上のブランチへの移行が案内されている）。

公開された暫定回避策

一部のバージョンに向けた修正パッチのリリースを待つ間、あるいは即座に更新作業が行えない環境に対し、Fortinetは被害を防ぐための暫定的な回避策を提示している。

同社は、CLI（コマンドラインインターフェース）を通じてIBE（Identity-Based Encryption：受信者のメールアドレス等を公開鍵として用いるIDベース暗号化機能）を無効化する手順を案内している。具体的には、以下のコマンドを実行することで機能を停止できる。

config system encryption ibe
set status disable
end

加えて、FortiMailの管理インターフェースに対するインターネット経由のアクセスを無効化するか、信頼できるプライベートネットワークからのみに接続を限定するアクセス制御の実施も強く求めている。

攻撃活動の痕跡（IoC）

Fortinetは、侵害の有無を確認するための指標（IoC：Indicators of Compromise）として、攻撃に関連するIPアドレスや不正なファイルのリストを公開した。

攻撃元として確認されたIPアドレスは以下の2件である。

• 79.141.169[.]187
• 45.129.0[.]192

また、攻撃によってシステム上に追加された形跡のあるファイルとして以下のパスが挙げられている。

• /data/lib/liblog.so
• /data/bin/webconsole
• /data/bin/mailservice
• /data/etc/ld.so.preload

さらに、以下の既存システムファイルに対する改ざんの兆候も確認対象として提示されている。

• /bin/smit
• /data/etc/httpd.conf
• /data/migadmin.tar.gz

/data/etc/ld.so.preload への記述や共有ライブラリ（.soファイル）の配置は、プロセス実行時に悪意あるプログラムを優先的に読み込ませる手法として知られており、任意ファイル書き込みを悪用した侵入の具体的な形跡を示している。

CISAの対応と相次ぐゼロデイ悪用

米CISAは本脆弱性の悪用確認を受け、米連邦文民行政府（FCEB）機関に対して2026年10月4日までに修正パッチの適用または回避策の実施を完了するよう指示した。

近年、エンタープライズ向けのネットワーク機器やセキュリティ製品を標的としたゼロデイ攻撃が相次いでいる。直近でも、Check Point（CVE-2026-85102およびCVE-2026-93616）、Arista VeloCloud Orchestrator（CVE-2026-93952）、F5 BIG-IP Access Policy Manager（CVE-2026-94127）、Cisco Catalyst SD-WAN Manager（CVE-2026-76504）、Citrix NetScaler ADC / Gateway（CVE-2026-88771およびCVE-2026-88772）など、多数の製品において実環境での悪用が確認されており、境界防御アプライアンスの厳格な管理が引き続き求められている。