概要
Fortinet製メールセキュリティ製品「FortiMail」の管理インターフェースに、未認証の攻撃者が任意のファイルを書き込める深刻な脆弱性(CVE-2026-104286、CVSS 9.8)が発見され、パッチ公開前から実際の攻撃で悪用されていることが確認された。Fortinetの製品セキュリティチームに所属するGwendal Guégniaud氏が発見・報告したもので、Fortinetは社内アドバイザリFG-IR-26-175として10月1日に公表した。米CISAは同日、既知の悪用脆弱性(KEV)カタログに本脆弱性を追加し、米連邦文民機関に対して10月4日までにフォレンジック調査と緩和策の実施を義務付けている。
脆弱性の技術的詳細
脆弱性は、制限ディレクトリへのパス名の不適切な制限(CWE-22、いわゆるパストラバーサル)と、NULLバイト・文字の不適切な無害化(CWE-158)という2つの弱点が組み合わさったもので、管理インターフェースに対して巧妙に作成されたHTTP/HTTPSリクエストを送信するだけで、未認証のまま任意ファイルをシステムに書き込めてしまう。Fortinet自身も「制限ディレクトリへのパス名の不適切な制限の脆弱性により、未認証の攻撃者が基盤システム上に任意のファイルを書き込める可能性がある」と説明しており、書き込んだファイルを起点にリモートコード実行につながる恐れも指摘されている。
影響を受けるのはFortiMail 7.2.07.2.9、7.4.07.4.8、7.6.07.6.6、8.0.08.0.1の各系列。報道時点でFortiMail 7.4系・7.6系・8.0系向けの修正版(7.4.9、7.6.7、8.0.2)は「近日公開」とされ未提供で、7.2系はサポートが終了しているため7.4以降への移行が必要となる。パッチが整うまでの暫定策として、Fortinetは不要であればIdentity Based Encryption(IBE)機能をconfig system encryption ibe/set status disableで無効化すること、および管理インターフェースへのアクセスを信頼できるプライベートネットワークのみに制限することを推奨している。
侵害の実態と対応状況
Fortinetが公開した侵害の兆候(IoC)によれば、攻撃では/bin/smitの改変や/data/lib/liblog.soの追加など7つのファイルが書き換え・追加されており、SHA-256ハッシュ値も併せて示されている。関連する攻撃元IPアドレスとして79.141.169.187と45.129.0.192が報告されている。悪用がいつから始まったか、攻撃者の正体など詳細は明らかにされていないが、パッチが存在しない状態での実被害が確認されている点が事態を深刻化させている。
CISAのKEV登録により、米連邦文民機関には10月4日までにフォレンジック調査と緩和策適用が義務付けられたが、これは連邦機関以外の組織にとっても対応の緊急性を示す指標となる。FortiMailは組織の電子メールゲートウェイとして広く利用されており、管理インターフェースが外部からアクセス可能な構成の場合はリスクが特に高い。修正パッチが提供されるまでは、管理インターフェースのネットワーク分離とIoCに基づく侵害有無の確認を直ちに行うことが強く求められる。