OWN NEWS GATHER
← 戻る
cve

Fortinetのメールセキュリティ製品「FortiMail」に深刻な脆弱性、未認証での任意ファイル書き込みが可能に

要点

  • Fortinetのメールセキュリティ製品「FortiMail」において、認証不要で悪用可能なパストラバーサルの脆弱性（CVE-2026-104286）が公表された。
  • 脆弱性の深刻度を示すCVSS v3.1のベーススコアは最高水準に近い「9.8（Critical）」と判定されている。
  • 攻撃者は細工されたHTTPまたはHTTPSリクエストを送信することで、システム上に任意のファイルを書き込める恐れがある。
  • 影響を受ける対象はFortiMail 7.0系から8.0系までの広範なバージョンに及んでいる。
  • Fortinetの公式アドバイザリ「FG-IR-26-175」が公開されているほか、米CISAのカタログへの参照リンクも掲載されている。

Fortinetが提供するメールセキュリティ製品「FortiMail」に、リモートから認証なしで悪用できる深刻な脆弱性が存在することが明らかになった。米国の脆弱性情報データベース「NVD（National Vulnerability Database）」などで情報が公開されており、CVE識別番号「CVE-2026-104286」が割り当てられている。

本脆弱性は、脆弱性評価基準であるCVSS v3.1においてベーススコア「9.8（Critical）」と判定されており、極めて重大な脅威として分類されている。

脆弱性の概要と想定される攻撃手法

公表された情報によると、今回の脆弱性は「CWE-22」として分類されるパストラバーサル（ファイルパスの指定制限が不十分なために、制限されたディレクトリ外へのアクセスを許してしまう不具合）に起因するものだという。

この不具合により、遠隔の攻撃者は細工したHTTPまたはHTTPSリクエストを対象システムに送信することで、基盤となるシステム上に任意のファイルを書き込める可能性があると説明されている。攻撃を実行するにあたって特別な事前認証（ログインなど）は要求されないため、未認証の第三者によってリモートから直接実行されるリスクがある点が特徴となっている。

CVSSスコアと評価ベクトルの詳細

本脆弱性に対する危険度評価は、CVE採番機関（CNA）であるFortinetによって行われており、CVSS v3.1の基本値（Base Score）は9.8の「Critical」と算出されている。

評価ベクトルの内訳（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）は以下の通りとなっている。

  • 攻撃元区分（AV:N / Network）: ネットワーク経由で外部からの攻撃が可能
  • 攻撃条件の複雑さ（AC:L / Low）: 攻撃を実行するための前提条件や複雑さが低く、容易に再現可能
  • 必要な特権レベル（PR:N / None）: 攻撃者がシステムに対する認証や特別な権限を一切必要としない
  • ユーザー関与（UI:N / None）: 被害者側のユーザーによるクリックなどの介入操作を必要としない
  • スコープ（S:U / Unchanged）: 影響範囲が他のコンポーネントへ波及することなく当該システム内で完結する
  • 機密性・完全性・可用性への影響（C:H / I:H / A:H）: 機密情報漏洩、データの改ざん・不正書き込み、システム停止のいずれにおいても最高レベル（High）の完全な影響を及ぼし得る

なお、NVDによる追加の独自検証・情報拡充（Enrichment）は現在進行中（Awaiting Enrichment）とされており、現時点ではNIST独自の評価値は「N/A」となっている。

影響を受ける対象製品とバージョン

公開されたデータによると、本脆弱性の影響を受ける製品はFortinetの「FortiMail」であり、複数のメジャーおよびマイナーバージョンにまたがって脆弱性が存在することが示されている。

説明文および影響製品テーブルに記載されている対象バージョンは以下の通りである。

  • FortiMail 8.0系: 8.0.0 および 8.0.1（テーブル上は 8.0.0）
  • FortiMail 7.6系: 7.6.0 〜 7.6.6（テーブル上は 7.6.0 〜 7.6.5）
  • FortiMail 7.4系: 7.4.0 〜 7.4.8（テーブル上は 7.4.0 〜 7.4.6）
  • FortiMail 7.2系: 7.2.0 〜 7.2.9
  • FortiMail 7.0系: 7.0.0 〜 7.0.9

このように、現行の主要リリースから過去のバージョンまで、広範なシステム環境が対象として挙げられている。

公開アドバイザリと参照情報

本件に関して、Fortinetの製品セキュリティインシデント対応チーム（PSIRT）からは公式アドバイザリ「FG-IR-26-175」が公開されている。

また、NVDの参照リンクには、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）が管理する「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」のURLも掲載されている。NVDにおける本レコードの登録・公開日は2026年10月1日として記録されている。

元URL