メールゲートウェイの裏口からファイルを書きこまれた — FortiMail ゼロデイ CVE-2026-104286 と IBE 機能
Fortinet は 10 月 1 日に FortiMail のパススルー型無認証任意ファイル書き込みゼロデイ CVE-2026-104286 (CVSS 9.8) を公表し、実利用を確認した。CISA は同日に KEV へ追加、連邦機関の期限は 10 月 4 日。4 系統すべてで修正版が未リリースのため IBE 無効化などの一時対処が必要で、9 月後半の KEV 急増との関係を整理する。
2026 年 10 月 1 日、Fortinet は FortiMail に影響する脆弱性 CVE-2026-104286 を PSIRT アドバイザリ FG-IR-26-175 で公表した。これはパスの制限の不備 (path traversal、CWE-22) と NULL バイト処理の不備 (CWE-158) の組み合わせで、認証なしの攻撃者が HTTP/HTTPS リクエストの造り方を工夫することで、基盤システム上の任意のファイルを書き込めるもの。NVD の CVSS v3.1 スコアは 9.8 (CRITICAL、CNA としての Fortinet PSIRT 報告)。影響対象は 4 系統で、FortiMail 8.0.0〜8.0.1 (対応 8.0.2 以降へ)、7.6.0〜7.6.6 (対応 7.6.7 以降へ)、7.4.0〜7.4.8 (対応 7.4.9 以降へ)、7.2.0〜7.2.9 (7.4 系統以降への移行を推奨)。10 月 2 日時点で 3 系統の対応リリースはいずれも「upcoming」の表記であり、7.2 系統には修正版の計画自体が無く、Fortinet は「この脆弱性が in the wild で悪用されていることを報告されており、顧客は下記の workaround を適用することを強く求める」と述べている。workaround は IBE (Internet Based Encryption) 機能の無効化 (GUI: Encryption -> IBE -> IBE Service 'off'、または CLI: config system encryption ibe / set status disable) で、代替として FortiMail webmail インターフェースへのインターネットからのアクセスを無効化・限定するか、前面 WAF がある場合 '../' を含む /ibe への POST リクエストをブロックする。Fortinet はさらに 2 つのソース IP と system イベントログ (root による cron 経由の /bin/sh -c 実行と、remote ディレクトリ付きの archive アカウント追加) と、encryption ログ (IBE の Base64 復号例外) の例を IoC として公表し、発見は Fortinet 製品セキュリティチーム内部によるものとした (FG-IR-26-175)。
CISA は 10 月 1 日に本脆弱性を KEV カタログへ追加し、連邦市民行政機関には 10 月 4 日 (本日) までの対応を求めている (BOD 26-04、追加から 3 日)。KEV 注記は「ベンダー指示に従い緩和を適用し、CISA の BOD 26-04 とフォレンジック・トリアージ要件に準拠する」を要求し、forensicTriage は Yes である。Fortinet の IoC に encryption ログ (IBE 復号失敗) が含まれている点から、悪用経路は IBE インターフェースを通るものと推測できるが、Fortinet が攻撃ベクトルを正式に説明したわけではない (推測は事実と分離して述べる)。直近の KEV 追加を見ると、9 月 20 日から 10 月 2 日までに 17 件が登録されている: Zyxel GS1900 (CVE-2026-7273)、Arista VeloCloud Orchestrator (CVE-2026-93952)、F5 BIG-IP APM (CVE-2026-94127)、Check Point マネジメント系 2 件 (CVE-2026-93616 / CVE-2026-85102)、WSO2 (CVE-2026-5430)、Adobe Commerce / Magento (CVE-2026-71362)、MikroTik RouterOS (CVE-2026-67279)、Microsoft SharePoint (CVE-2026-65660)、WordPress Core (CVE-2026-87902)、Citrix NetScaler 2 件 (CVE-2026-88772 / CVE-2026-88771)、Cisco Catalyst SD-WAN Manager (CVE-2026-76504)、Apple (CVE-2026-86950)、本件 FortiMail (CVE-2026-104286)、Zammad 2 件 (CVE-2026-102490 / CVE-2026-102489) で、多くが境界装置の管理・機能インターフェースである (CISA KEV カタログ、2026.10.02)。
分析 (事実と分離): 本件で注目すべきは、認証を要求しないインターフェースへの無認証アクセスが、root 相当のファイル書き込みに直結している点だ。9 月 15 日にこの観測で扱った Cisco SEG のゼロデイ CVE-2026-76461 は、同じくメールゲートウェイにおける無認証のリクエスト処理が SQL インジェクション経由で root 実行に至る構成で、実利用を確認し、KEV 入りの経緯もほぼ同型である。メールゲートウェイという位置づけを共有する 2 件のゼロデイが 3 週間以内に KEV に入っており、ゲートウェイの「メールの中身」以外の機能インターフェースが狙われている。IBE はメールの暗号化機能であり、実運用で有効にしている組織は多いとは限らない。一方で、有効にしている限定的な組織では、そのインターフェースはインターネットに晒したまま残りうる。単一機能のために無認証で届く入口が残っている、という構造だ。Fortinet が内部発見を明記している点も、F5 BIG-IP APM (CVE-2026-94127) と同じパターンで、公表前の静かな実利用期間を示唆しうる。7.2 系統に修正版が無いことは、その環境では「パッチを当てる」のではなく「系統を動かすか、機能を閉じるか」の判断が 10 月 4 日の期限までに迫られることを意味する。
防御側への含意: (1) IBE を使っていない環境では、GUI か CLI で IBE を無効化するのが最優先で、これは CISA の KEV 注記が指す「ベンダー指示による緩和」に該当する。(2) IBE を使っている環境では、WAF で '../' を含む /ibe への POST をブロックするか、webmail へのアクセスを信頼されるプライベートネットワークからのみに限定する。いずれも暫定措置であり、最終リリースと併せて進める。(3) 検知は Fortinet の IoC (system ログの cron 経由 /bin/sh -c と archive アカウント追加、encryption ログの IBE 復号例外) を確認するが、装置自身のログが改ざんの可能性があることを前提に、WAF や NetFlow など装置外のログでも /ibe へのトラフィックを遡る。(4) 7.2 系統の環境では 7.4 系統以降への移行計画を今立てる。修正版が無い以上、期限対策は移行か隔離になる。(5) 境界装置の棚卸しでは、IBE のような個別機能インターフェースの公開状況を再点検する。9 月 27 日登録の Citrix NetScaler 2 件と 30 日登録の Cisco Catalyst SD-WAN Manager は、同型の一連の KEV 追加であり、期限も同じ 3 日窓で来ている。事実関係は Fortinet アドバイザリ FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175)、CISA KEV カタログ (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)、NVD の CVE レコード (https://nvd.nist.gov/vuln/detail/CVE-2026-104286) に基づく。分析部分は事実と分けて記述している。