邮件网关后门写入文件 —— FortiMail 零日漏洞 CVE-2026-104286 与 IBE 功能
Fortinet 于 10 月 1 日披露 FortiMail 路径遍历零日（CVE-2026-104286，CVSS 9.8），允许未经认证的任意文件写入，并确认在野利用。CISA 于同日将其列入 KEV 目录，联邦期限为 10 月 4 日。四个受影响分支均无已发布修复，需先执行 IBE 禁用等临时缓解，本文将其与 9 月下旬 KEV 激增放在一起整理。
本文由机器翻译。
2026 年 10 月 1 日，Fortinet 通过 PSIRT 通告 FG-IR-26-175 披露了 FortiMail 的 CVE-2026-104286。该漏洞结合了路径限制不当（path traversal，CWE-22）与 NULL 字节处理不当（CWE-158）：未经认证的攻击者可通过构造的 HTTP/HTTPS 请求在底层系统上写入任意文件。NVD 的 CVSS v3.1 评分为 9.8（CRITICAL，由 Fortinet PSIRT 作为 CNA 报告）。受影响版本覆盖四个分支：FortiMail 8.0.0–8.0.1（升级至即将发布的 8.0.2 及以上）、7.6.0–7.6.6（即将发布的 7.6.7 及以上）、7.4.0–7.4.8（即将发布的 7.4.9 及以上）、7.2.0–7.2.9（升级至 7.4 分支及以上）。截至 10 月 2 日，三个较新分支的修复仍标记为「upcoming（即将发布）」，7.2 分支则没有计划中的修复版本。Fortinet 表示该漏洞「据报已在野被利用」，并敦促客户应用缓解措施：通过 GUI（Encryption -> IBE -> IBE Service 'off'）或 CLI（config system encryption ibe / set status disable）禁用 IBE（Internet Based Encryption）功能；或者禁用对 FortiMail webmail 接口的互联网访问、将其限定在受信私有网络，或在有 WAF 时阻断包含 '../' 的 /ibe POST 请求。Fortinet 还发布了两个源 IP 及 system 事件日志与加密日志示例作为 IoC，并说明漏洞由 Fortinet 产品安全团队的 Gwendal Guégniaud 内部发现（FG-IR-26-175）。
CISA 于 10 月 1 日将该漏洞列入 KEV 目录，要求联邦民事机构在 10 月 4 日（即今日）前作出响应（BOD 26-04，自列入起 3 天）。KEV 注释要求按厂商指示应用缓解，并符合 BOD 26-04 与 CISA 取证分诊要求，forensicTriage 标记为 Yes。Fortinet 的 IoC 中包含 IBE 解密失败的加密日志条目，这暗示利用路径经过 IBE 接口；但 Fortinet 并未正式描述攻击向量，应视为推断而非事实（下文将推断与事实分开陈述）。近期 KEV 新增情况显示，9 月 20 日至 10 月 2 日共 17 条：Zyxel GS1900（CVE-2026-7273）、Arista VeloCloud Orchestrator（CVE-2026-93952）、F5 BIG-IP APM（CVE-2026-94127）、Check Point 管理服务器 2 条（CVE-2026-93616 / CVE-2026-85102）、WSO2（CVE-2026-5430）、Adobe Commerce 与 Magento（CVE-2026-71362）、MikroTik RouterOS（CVE-2026-67279）、Microsoft SharePoint（CVE-2026-65660）、WordPress Core（CVE-2026-87902）、Citrix NetScaler 2 条（CVE-2026-88772 / CVE-2026-88771）、Cisco Catalyst SD-WAN Manager（CVE-2026-76504）、Apple（CVE-2026-86950）、本件 FortiMail（CVE-2026-104286）、Zammad 2 条（CVE-2026-102490 / CVE-2026-102489）——其中许多是边界设备上的管理或功能接口（CISA KEV 目录，2026.10.02）。
分析（与事实分开）：值得注意的是，对一个不要求认证的接口的无认证访问，直接落到了 root 级别的文件写入。本观测在 9 月 15 日讨论的 Cisco SEG 零日（CVE-2026-76461）几乎是同一种形态：邮件网关中无认证的请求处理经由 SQL 注入到达 root 执行，同样确认了野利用并随后进入 KEV。两台同处「邮件网关」角色的设备上的零日在 3 周内容纳 KEV，两者的目标都是网关上的功能接口，而非邮件路径本身。IBE 是邮件加密功能，许多部署可能仅为少量发件人启用；在启用的场景中，其接口可能作为副作用持续暴露在互联网上。单一功能留下了一个无认证入口——这是结构性要点。Fortinet 注明该缺陷由内部发现，与 F5 BIG-IP APM 漏洞（CVE-2026-94127）是同一模式，可能暗示披露前有一段安静的野利用窗口。7.2 分支没有任何修复版本意味着这些站点无法在 10 月 4 日期限前简单地「打补丁」：选择是迁移分支或关闭功能。
防御侧启示：(1) 若未使用 IBE，通过 GUI 或 CLI 禁用它是最优先事项，这正是 CISA KEV 注释所指的「按厂商指示的缓解」。(2) 若在使用 IBE，应在 WAF 上阻断包含 '../' 的 /ibe POST 请求，或将 webmail 访问限定于受信私有网络；两者都是与最终版本配套的临时措施。(3) 按 Fortinet 的 IoC 执行检测（system 日志中经 cron 启动的 /bin/sh -c 与 archive 账户添加、加密日志中 IBE 解密异常），同时以设备自身日志可能不再是第一手来源为前提，复核 WAF / NetFlow 中发往 /ibe 的流量。(4) 对 7.2 分支站点，立即启动向 7.4 及以上迁移的计划；没有修复版本的话，期限对策就是迁移或隔离。(5) 在边界设备盘点中，重新检查 IBE 这类单一功能接口的公开暴露。9 月 27 日列入的 2 条 Citrix NetScaler 与 30 日列入的 Cisco Catalyst SD-WAN Manager 属于同一批 KEV 新增，期限同样是 3 天窗口。本文事实依据 Fortinet 通告 FG-IR-26-175（https://fortiguard.fortinet.com/psirt/FG-IR-26-175）、CISA KEV 目录（https://www.cisa.gov/known-exploited-vulnerabilities-catalog）与 NVD CVE 记录（https://nvd.nist.gov/vuln/detail/CVE-2026-104286）。分析部分与事实分开记述。