最近の脆弱性 › CVE-2026-104286
Fortinet FortiMail のパストラバーサルの脆弱性（CVE-2026-104286）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-104286 |
|---|---|
| 製品 | Fortinet FortiMail |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2026-10-01 |
| 米国政府機関の対応期限 | 2026-10-04 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-22, CWE-158 |
何が起きた
Fortinet のメールを守る製品 FortiMail に、ファイルの保存場所の指定を悪用される弱点（パストラバーサル）が見つかり、実際に悪用が確認されています。細工した HTTP や HTTPS の要求を送られると、システムに任意のファイルを書き込まれるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
FortiMail の 8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9 を使っている組織が影響を受けます。FortiMail Cloud は Fortinet が対応済みです。
何をすればいい
8.0 系は 8.0.2 以上、7.6 系は 7.6.7 以上、7.4 系は 7.4.9 以上に更新してください。7.2 系には修正版がないため、7.4 以上の系列に上げます。すぐに更新できない場合は、IBE（暗号化メール）の機能を止めるか、ウェブメールの画面をインターネットから使えないようにしましょう。
やることチェックリスト
- 8.0.2・7.6.7・7.4.9以上に更新する
- 7.2系は7.4以上の系列に上げる
- IBEを止めるかウェブメールを外から使えなくする
用語メモ
- パストラバーサル
- ファイルの場所を指定する部分に細工をして、本来は触れないはずの場所のファイルを読み書きする攻撃のことです。
- 任意のファイル
- 攻撃者が自由に選べるファイルのことです。
元データ（英語・CISA KEV より）
Fortinet FortiMail Path Traversal Vulnerability
概要
Fortinet FortiMail contains a path traversal and an improper neutralization of NULL byte or NULL character vulnerability that may allow an unauthenticated attacker to write arbitrary files on the underlying system via crafted HTTP or HTTPS requests.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.