概要
Fortinetは10月1日、メールセキュリティアプライアンス「FortiMail」の管理インターフェースに存在する脆弱性(CVE-2026-104286、CVSSスコア9.8)が、ゼロデイ攻撃として実際に悪用されていることを公表した。本脆弱性はパストラバーサル(CWE-22)とNULLバイト・NULL文字の処理不備(CWE-158)を組み合わせたもので、未認証の攻撃者が特別に加工したHTTP/HTTPSリクエストを送信するだけで、対象システム上に任意のファイルを書き込めるという深刻な内容だ。書き込み先次第ではコード実行につながる可能性もあるとされている。Fortinetは発表時点で正式な修正パッチを提供できておらず、暫定的な緩和策の適用を呼びかけている。
対象バージョンと緩和策
影響を受けるのはFortiMail 8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9の各バージョン。修正版として7.4.9、7.6.7、8.0.2が近く提供される予定だが、7.2系列のユーザーは7.4系列以降へのアップグレードが推奨されている。パッチが未提供のため、Fortinetは当面の対策として、不要であればIBE(Identity Based Encryption)機能をコマンドラインから無効化すること、および管理インターフェースへのアクセスを信頼できるネットワークに限定し、インターネットからの到達を遮断することを推奨している。ただしThe Registerが指摘するように、これらの回避策はあくまで新たな侵入を防ぐものであり、すでに攻撃者が設置したファイルや永続化の仕組みを除去するものではない。管理者は自組織の環境がすでに侵害されていないか個別に確認する必要がある。
実悪用の状況と発見経緯
本脆弱性はFortinetのプロダクトセキュリティチームに所属するGwendal Guégniaud氏が社内で発見した。BleepingComputerによれば、Fortinetは攻撃活動として侵害されたシステム上での不正なファイルの変更・追加を確認しており、侵害の痕跡として79.141.169.187および45.129.0.192のIPアドレスを示唆する情報も公開している。一方でThe Registerは、Fortinetのアドバイザリが攻撃の発生時期や関与した攻撃者、被害を受けた顧客数などの詳細を明らかにしていない点を指摘しており、実際の悪用の規模はまだ不透明な部分が残る。
政府機関の対応と背景
CISA(米サイバーセキュリティ・インフラセキュリティ庁)は10月1日、本脆弱性を既知の悪用脆弱性(KEV)カタログに追加し、連邦文民機関に対して10月4日までの対応完了を義務付けた。Fortinetも「CISAを含む政府機関と調整を進めている」とコメントしている。The Registerは、今回の事案を2026年6月に約75,000台のFortiGateファイアウォールで発生した認証情報窃取事件に続くものと位置づけ、Fortinet製品が攻撃者から継続的に標的とされている状況を浮かび上がらせている。パッチ提供までの間、FortiMailを利用する組織は管理インターフェースの露出を直ちに見直すことが強く求められる。