情報取得日: 2026/10/01・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-104286 |
|---|---|
| 製品 | Fortinet / FortiMail 8.0.0〜8.0.1 / 7.6.0〜7.6.6 / 7.4.0〜7.4.8 / 7.2.0〜7.2.9 |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-22 パス・トラバーサル（CWE-158 ヌルバイトの不適切な無害化を併発） |
| 登録／公開日 | 2026/10/01 |
| KEV 期限 | 2026/10/04 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-104286 |
Fortinet のメールセキュリティ製品 FortiMail に、パス・トラバーサル（CWE-22）とヌルバイトの扱いの不備（CWE-158）が重なった欠陥があり、**認証されていない攻撃者が細工した HTTP / HTTPS リクエストで、機器の下層システムに任意のファイルを書き込める**。Fortinet のアドバイザリ FG-IR-26-175（2026年10月1日公開）は、これによりシステム権限でのコード実行に至るとしている。対象は FortiMail 8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9（NVD の記述と Fortinet のアドバイザリで一致）。 **すでに悪用されている。** Fortinet はアドバイザリで実環境での悪用を確認したとしており、CISA は同じ 2026年10月1日に KEV へ収載し、**是正期限を 2026年10月4日**（収載から3日）とした。KEV 上のランサムウェア利用は Unknown（不明）。 CVSS 3.1 は Fortinet の評価で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。NVD の vulnStatus は Awaiting Analysis（2026-10-02 時点）で、NVD 独自のスコアはまだ付いていない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
AWS 上で運用している FortiMail-VM を修正版（8.0 系は 8.0.2、7.6 系は 7.6.7、7.4 系は 7.4.9）以上へ更新する。7.2 系は 7.4 以降へ移行する。更新まではセキュリティグループで管理インターフェースの到達元を管理用ネットワークに絞り、IBE を使っていなければ無効にする。
AWS 側の修正ではなく仮想アプライアンスの更新が対処。CISA KEV 収載済み（是正期限 2026-10-04）。Fortinet が運用する SaaS 版（FortiMail Cloud）の対処状況はアドバイザリに記載が無く公式で要確認。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCP 上で FortiMail-VM を運用していれば修正版（8.0.2 / 7.6.7 / 7.4.9）以上へ更新し、7.2 系は 7.4 以降へ移行する。VPC ファイアウォールで管理アクセスの到達元を制限する。
GCP 側にパッチは無い。仮想アプライアンスの更新が必要。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure 上で運用している FortiMail-VM を修正版（8.0.2 / 7.6.7 / 7.4.9）以上へ更新し、7.2 系は 7.4 以降へ移行する。更新までは NSG で管理インターフェースの公開範囲を絞り、IBE を使っていなければ無効にする。
Azure 側の修正ではなく仮想アプライアンスの更新が対処。痕跡（/data/etc/ld.so.preload の追加など）の点検もあわせて行う。
参照リンク
|
| Linux | ベンダーFW更新 |
オンプレミスの FortiMail（物理/仮想）を Fortinet の修正版（8.0.2 / 7.6.7 / 7.4.9）以上へ更新する。7.2 系は 7.4 以降へ移行する。
汎用 Linux ディストリのパッケージではなく Fortinet のアプライアンス。回避策は IBE の無効化と管理アクセスの制限（Fortinet のアドバイザリ）。
参照リンク
|
**修正版へ上げる。** Fortinet のアドバイザリが示す修正版は、8.0 系は 8.0.2 以上、7.6 系は 7.6.7 以上、7.4 系は 7.4.9 以上。**7.2 系には修正版が出ず、7.4 以降への移行**が対処になる。KEV の是正期限は **2026年10月4日** と短い。 **更新までの回避策は2つ。** Fortinet は、IBE（Identity Based Encryption）機能を無効にすること（CLI の `config system encryption ibe` で `set status disable`）と、管理インターフェースへのアクセスを信頼できるプライベートネットワークに限ることを挙げている。いずれも更新の代わりにはならない。 **侵害の有無を確認する。** Fortinet はアドバイザリで痕跡として、`/data/lib/liblog.so`・`/data/bin/webconsole`・`/data/bin/mailservice`・`/data/etc/ld.so.preload` の追加、`/bin/smit`・`/data/etc/httpd.conf`・`/data/migadmin.tar.gz` の改変、`/migadmin` を参照する cron、見覚えの無いアーカイブアカウント設定、IBE の復号エラー（Base64 デコード失敗）を挙げ、不審な接続元として 79.141.169.187 と 45.129.0.192 を示している。CISA も KEV で BOD 26-04 のフォレンジック・トリアージを求めているので、更新前に設定とログを退避してから点検する。痕跡があれば、版を上げるだけでは足りず、機器の再構築と認証情報の入れ替えを検討する。 **完了条件**は、（1）全ての FortiMail が修正版以上（7.2 系は 7.4 以降へ移行済み）であること、（2）管理インターフェースの到達元が絞られていること、（3）上記の痕跡の点検を終えていること、の3点である。
Critical（CVSS 9.8）に分類されるFortinet FortiMail 8.0.0〜8.0.1 / 7.6.0〜7.6.6 / 7.4.0〜7.4.8 / 7.2.0〜7.2.9の脆弱性です。Fortinet のメールセキュリティ製品 FortiMail に、パス・トラバーサル（CWE-22）とヌルバイトの扱いの不備（CWE-158）が重なった欠陥があり、**認証されていない攻撃者が細工した HTTP / HTTPS リクエストで、機器の下層システムに任意のファイルを書き込める**。Fortinet のアドバイザリ FG-IR-26-175（2026年10月1日公開）は、これによりシステム権限でのコード実行に至るとしている。対象は FortiMail 8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9（NVD の記述と Fortinet のアドバイザリで一致）。 **すでに悪用されている。** Fortinet はアドバイザリで実環境での悪用を確認したとしており、CISA は同じ 2026年10月1日に KEV へ収載し、**是正期限を 2026年10月4日**（収載から3日）とした。KEV 上のランサムウェア利用は Unknown（不明）。 CVSS 3.1 は Fortinet の評価で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。NVD の vulnStatus は Awaiting Analysis（2026-10-02 時点）で、NVD 独自のスコアはまだ付いていない。
**修正版へ上げる。** Fortinet のアドバイザリが示す修正版は、8.0 系は 8.0.2 以上、7.6 系は 7.6.7 以上、7.4 系は 7.4.9 以上。**7.2 系には修正版が出ず、7.4 以降への移行**が対処になる。KEV の是正期限は **2026年10月4日** と短い。 **更新までの回避策は2つ。** Fortinet は、IBE（Identity Based Encryption）機能を無効にすること（CLI の `config system encryption ibe` で `set status disable`）と、管理インターフェースへのアクセスを信頼できるプライベートネットワークに限ることを挙げている。いずれも更新の代わりにはならない。 **侵害の有無を確認する。** Fortinet はアドバイザリで痕跡として、`/data/lib/liblog.so`・`/data/bin/webconsole`・`/data/bin/mailservice`・`/data/etc/ld.so.preload` の追加、`/bin/smit`・`/data/etc/httpd.conf`・`/data/migadmin.tar.gz` の改変、`/migadmin` を参照する cron、見覚えの無いアーカイブアカウント設定、IBE の復号エラー（Base64 デコード失敗）を挙げ、不審な接続元として 79.141.169.187 と 45.129.0.192 を示している。CISA も KEV で BOD 26-04 のフォレンジック・トリアージを求めているので、更新前に設定とログを退避してから点検する。痕跡があれば、版を上げるだけでは足りず、機器の再構築と認証情報の入れ替えを検討する。 **完了条件**は、（1）全ての FortiMail が修正版以上（7.2 系は 7.4 以降へ移行済み）であること、（2）管理インターフェースの到達元が絞られていること、（3）上記の痕跡の点検を終えていること、の3点である。
Fortinet FortiMail 8.0.0〜8.0.1 / 7.6.0〜7.6.6 / 7.4.0〜7.4.8 / 7.2.0〜7.2.9 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-104286）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/04 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。