메일 게이트웨이의 뒷문으로 파일이 기록되었다 — FortiMail 제로데이 CVE-2026-104286과 IBE 기능
Fortinet은 10월 1일 FortiMail의 경로 탐색 zero-day(CVE-2026-104286, CVSS 9.8)가 무인증의 임의 파일 기록을 허용한다고 공개하고 실제 악용을 확인했다. CISA는 같은 날 이를 KEV 카탈로그에 추가했고, 연방 기한은 10월 4일이다. 4개 계열 모두에서 패치 버전이 아직 출시되지 않아 IBE 무효화 등 임시 조치가 필요하며, 9월 후반 KEV 급증을 함께 정리한다.
이 글은 기계 번역입니다.
2026년 10월 1일, Fortinet은 PSIRT 공지 FG-IR-26-175를 통해 FortiMail의 CVE-2026-104286을 공개했다. 이 결함은 경로 제한의 부적절(path traversal, CWE-22)과 NULL 바이트 처리의 부적절(CWE-158)의 조합으로, 무인증 공격자가 조작한 HTTP/HTTPS 요청을 통해 하위 시스템에 임의의 파일을 기록할 수 있다. NVD의 CVSS v3.1 점수는 9.8(CRITICAL, Fortinet PSIRT가 CNA로서 보고)이다. 영향받는 릴리스는 4개 계열이다: FortiMail 8.0.0–8.0.1(예정된 8.0.2 이상으로 업그레이드), 7.6.0–7.6.6(예정된 7.6.7 이상), 7.4.0–7.4.8(예정된 7.4.9 이상), 7.2.0–7.2.9(7.4 계열 이상으로 업그레이드). 10월 2일 기준으로 세 계열의 수정은 모두 'upcoming(예정)'으로 표시되며, 7.2 계열에는 수정 릴리스 계획 자체가 없다. Fortinet은 이 결함이 '실제 환경에서 악용된 것으로 보고되고 있다'며 우회 조치를 적용할 것을 강력히 권고했다: IBE(Internet Based Encryption) 기능을 GUI(Encryption -> IBE -> IBE Service 'off') 또는 CLI(config system encryption ibe / set status disable)로 무효화하거나, FortiMail webmail 인터페이스에 대한 인터넷 접근을 비활성화하거나 신뢰할 수 있는 사내 네트워크로 한정하거나, WAF가 앞단에 있으면 '../'를 포함하는 /ibe POST 요청을 차단한다. Fortinet은 두 개의 소스 IP와 system 이벤트·암호화 로그 예시를 IoC로 공개하고, 발견을 Fortinet 제품보안팀의 Gwendal Guégniaud가 내부에서 했다고 밝혔다(FG-IR-26-175).
CISA는 10월 1일 이 취약점을 KEV 카탈로그에 추가하고, 연방 민간 기관에 10월 4일 — 오늘 — 까지 대응하도록 했다(BOD 26-04, 등재로부터 3일). KEV 주석은 BOD 26-04와 CISA 포렌식 트리아지 요건을 따르며 벤더가 지시한 완화를 적용할 것을 요구하며, forensicTriage은 Yes로 표시된다. Fortinet의 IoC에는 IBE 복호화 실패의 암호화 로그 항목이 포함되어 있어 악용 경로가 IBE 인터페이스를 거칠 가능성이 시사되지만, Fortinet이 공격 벡터를 공식적으로 설명한 것은 아니므로 추론으로 취급해야 한다(아래서 추론과 사실을 분리한다). 최근 KEV 추가를 보면 9월 20일부터 10월 2일까지 17건이 등록되었다: Zyxel GS1900(CVE-2026-7273), Arista VeloCloud Orchestrator(CVE-2026-93952), F5 BIG-IP APM(CVE-2026-94127), Check Point 관리 서버 2건(CVE-2026-93616 / CVE-2026-85102), WSO2(CVE-2026-5430), Adobe Commerce·Magento(CVE-2026-71362), MikroTik RouterOS(CVE-2026-67279), Microsoft SharePoint(CVE-2026-65660), WordPress Core(CVE-2026-87902), Citrix NetScaler 2건(CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager(CVE-2026-76504), Apple(CVE-2026-86950), 이번 FortiMail(CVE-2026-104286), Zammad 2건(CVE-2026-102490 / CVE-2026-102489) — 상당수가 경계 장비의 관리·기능 인터페이스이다(CISA KEV 카탈로그, 2026.10.02).
분석(사실과 분리): 주목할 점은, 인증을 요구하지 않는 인터페이스에 대한 무인증 접근이 root 수준의 파일 기록으로 바로 이어진다는 것이다. 이 관측이 9월 15일에 다룬 Cisco SEG zero-day(CVE-2026-76461)와 거의 같은 모양이다: 메일 게이트웨이에서 무인증 요청 처리가 SQL 주입을 거쳐 root 실행에 이르렀고, 실제 악용이 확인된 뒤 KEV에 등재되었다. 메일 게이트웨이라는 위치를 공유하는 2대의 장비의 zero-day가 3주 안에 KEV에 들어왔으며, 두 경우 모두 메일 경로가 아니라 게이트웨이의 기능 인터페이스가 표적이다. IBE는 메일 암호화 기능으로, 많은 환경에서는 제한적인 수신인에게만 활성화했을 수 있다. 활성화한 환경에서는 이 인터페이스가 부수적으로 인터넷에 계속 열려 있을 수 있다. 단일 기능이 무인증 진입점을 남긴다는 것이 구조적 핵심이다. Fortinet이 내부 발견을 명시한 점은 F5 BIG-IP APM 결함(CVE-2026-94127)과 같은 패턴으로, 공개 전의 조용한 악용 구간을 시사할 수 있다. 7.2 계열에는 수정 릴리스가 전혀 없으므로 해당 사이트는 10월 4일 기한 전까지 단순히 '패치'할 수 없다: 분기를 옮기거나 기능을 닫는 판단이다.
방어 측 함의: (1) IBE를 사용하지 않는 환경에서는 GUI 또는 CLI로 IBE를 무효화하는 것이 최우선이다. CISA KEV 주석이 가리키는 '벤더 지침에 따른 완화'에 해당한다. (2) IBE를 사용하는 환경에서는 WAF에서 '../'를 포함하는 /ibe POST를 차단하거나, webmail 접근을 신뢰 사내 네트워크로 한정한다. 둘 다 최종 릴리스와 짝을 이루는 임시 조치이다. (3) Fortinet의 IoC(system 로그의 cron 경유 /bin/sh -c와 archive 계정 추가, 암호화 로그의 IBE 복호화 예외)로 탐지하는 한편, 장비 자신의 로그가 더 이상 1차 출처가 아닐 수 있다는 전제에서 WAF / NetFlow에서도 /ibe로 가는 트래픽을 되돌아 본다. (4) 7.2 계열 사이트는 지금 7.4 이상으로의 이관 계획을 세운다. 수정 버전이 없으므로 기한 대비책은 이거나 격리이다. (5) 경계 장비 목록에서 IBE 같은 단일 기능 인터페이스의 공개 노출을 재확인한다. 9월 27일 등재된 Citrix NetScaler 2건과 30일 등재된 Cisco Catalyst SD-WAN Manager는 같은 흐름의 KEV 추가이며, 기한도 같은 3일 창이다. 사실 관계는 Fortinet 공지 FG-IR-26-175(https://fortiguard.fortinet.com/psirt/FG-IR-26-175), CISA KEV 카탈로그(https://www.cisa.gov/known-exploited-vulnerabilities-catalog), NVD CVE 기록(https://nvd.nist.gov/vuln/detail/CVE-2026-104286)에 기초한다. 분석 부분은 사실과 분리해 서술한다.