「FortiMail」に深刻なゼロデイ脆弱性 - 悪用が報告、修正版は準備中

Fortinetが提供するメールセキュリティ製品「FortiMail」に深刻な脆弱性が明らかとなった。ゼロデイ攻撃に悪用されているとの報告もあり、同社では修正版の準備を進めるとともに、回避策の実施を呼びかけている。

Fortinetが現地時間2026年10月1日にセキュリティアドバイザリを公開し、グラフィカルユーザーインタフェースのコンポーネントに確認された脆弱性「CVE-2026-104286」について明らかにしたもの。

「パストラバーサル」や「NULLバイト」「NULL文字」を適切に無害化できないことに起因する脆弱性で、細工したHTTPリクエストにより、認証を必要とすることなくシステム上へ任意のファイルを書き込むことが可能だという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」で、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同社は同脆弱性を内部で発見したとする一方、攻撃で悪用されているとの報告もあるという。同社は修正版として「FortiMail 8.0.2」「同7.6.7」「同7.4.9」を提供する予定。また「同7.2」ブランチも影響を受けるとしており、「同7.4」以降に移行する必要がある。

（Security NEXT - 2026/10/02 ）ツイート