FortiMail CVE-2026-104286: 악용 중인 치명적 취약점에 패치 출시 — 업데이트 전 침입 여부부터 확인

회사에서 FortiMail(스팸, 피싱, 악성코드를 받은편지함에 도착하기 전에 걸러내는 Fortinet의 이메일 게이트웨이)을 쓰고 있다면, 이번 경고는 다음 점검 일정까지 미룰 수 없습니다. 취약점 CVE-2026-104286(CVSS 9.8)은 로그인 없이 장비에 임의의 파일을 쓸 수 있게 하며, Fortinet 스스로 이미 악용되고 있다고 확인했습니다.

좋은 소식은 10월 5일부터 수정 버전이 나와 있다는 것입니다. 덜 좋은 소식은 업데이트만으로는 부족하다는 점입니다. 패치 전에 침입당했다면 공격자가 심어 둔 것은 그대로 남아 있습니다. 아래에서 알려진 내용, 영향 범위, 올바른 대응 순서를 정리했습니다.

어떤 취약점인가

2026년 10월 1일 공개된 권고문 FG-IR-26-175에 따르면, 경로 탐색(path traversal)(CWE-22)과 NULL 바이트의 부적절한 처리(CWE-158)라는 두 가지 약점이 결합된 것입니다. 실제로는 조작된 HTTP/HTTPS 요청으로 웹 서비스가 써야 할 디렉터리 밖에 파일을 쓸 수 있습니다. Fortinet은 영향을 "승인되지 않은 코드 또는 명령 실행"으로 평가하고, 악용이 확인된 취약점으로 표시했습니다.

취약한 구성 요소는 IBE(Identity Based Encryption)와 관련이 있습니다. IBE는 회사 외부 수신자가 웹 포털을 통해 암호화된 메일을 열 수 있게 해 주는 FortiMail 기능입니다. 포털이 인터넷에서 접근 가능해야 IBE가 작동하므로, 많은 장비가 구조적으로 노출되어 있습니다.

이 취약점은 Fortinet 제품 보안팀의 Gwendal Guégniaud가 내부에서 발견했습니다. 공격 주체, 공격 시작 시점, 피해 고객 수는 공개되지 않았습니다.

미국 CISA는 같은 날 이 CVE를 KEV(악용이 확인된 취약점) 카탈로그에 추가하고 연방 기관에 10월 4일까지 조치하도록 했으며, BOD 26-04 지침에 따라 포렌식 분류(triage)가 필요한 항목으로 지정했습니다. 즉, 패치만이 아니라 침입 여부도 확인해야 합니다. 이 지침은 Ivanti Sentry 기사에서도 다뤘습니다.

영향받는 버전

주의할 점 세 가지:

• FortiMail Cloud는 Fortinet이 10월 5일에 이미 수정했습니다(모든 펌웨어를 7.6.7 또는 8.0.2로 업데이트). 클라우드 고객은 조치할 필요가 없습니다.
• 7.2 브랜치는 수정 버전이 나오지 않습니다. 7.2 사용자는 7.4.9 이상으로의 이전을 계획해야 하며, 7.4.9 이전의 7.4 버전도 취약합니다.
• ThreatFrontier에 따르면 Fortinet이 NVD에 등록한 기록에는 FortiMail 7.0.0~7.0.9도 포함되어 있지만, 권고문 표에는 7.0이 없습니다. 아직 7.0을 쓴다면 노출된 장비로 간주하세요.

아직 업데이트할 수 없다면: 공식 완화 조치

업데이트 전까지 Fortinet은 효과가 큰 순서대로 세 가지 방법을 제시합니다.

1. IBE 비활성화(IBE 없이 업무가 가능한 경우): GUI의 Encryption → IBE → IBE Service를 "off"로 설정합니다. CLI에서는 권고문에 config system encryption ibe / set status disable / end 명령이 나와 있습니다.
2. FortiMail 웹메일을 인터넷에서 분리하거나, 신뢰할 수 있는 사설망에서만 접근하도록 제한합니다.
3. FortiMail 앞단에 WAF(웹 애플리케이션 방화벽)가 있다면, 권고문에 설명된 POST 요청을 차단합니다.

이렇게 하면 앞으로의 위험은 줄지만, 이미 일어난 침입은 되돌릴 수 없습니다.

업데이트 전에 침입 여부부터 확인하세요

많은 팀이 건너뛰는 단계입니다. 업데이트는 취약점을 고치지만, 공격자가 만든 파일, 계정, 예약 작업은 지우지 않습니다. 그래서 권장 순서는 완화 → 조사 → 업데이트입니다.

Fortinet은 권고문에 침해 지표(IoC)를 공개했습니다. 출발지 IP 주소 2개와 찾아야 할 로그 패턴입니다. 여기서는 지표를 그대로 옮기지 않습니다. 항상 최신 공식 권고문을 참고하세요. 대략적인 징후는 다음과 같습니다.

• 알 수 없는 root 권한으로 실행되는 예약 작업(cron)
• 출처가 "(null)"인 관리자 로그아웃 기록
• 알 수 없는 원격 서버로 사본을 보내도록 설정된 "아카이브 계정"
• 암호화 로그의 디코딩 오류와 내부 사용자의 로그인 실패

대부분의 기업에 가장 심각한 것은 아카이브 계정입니다. 이메일 게이트웨이는 모든 메일을 보기 때문에, 악성 아카이브 규칙은 조용하고 지속적인 메일 탈취를 의미합니다. ThreatFrontier에 따르면 최초 권고문에는 추가되거나 변경된 시스템 파일 목록(해시 포함)도 있었으나 이후 페이지에서 삭제되었습니다.

징후를 발견했다면:

• 장비를 침해된 것으로 간주합니다.
• 손대기 전에 로그와 디스크를 보존합니다.
• 의심스러운 파일만 지우지 말고 깨끗한 이미지로 재구축합니다.
• 관리자 비밀번호와 장비에 저장된 키·인증서를 교체합니다.
• 보관된 메일이 읽혔을 수 있다고 가정하고 신고·통지 의무를 검토합니다.

중소기업에 왜 중요한가

이메일 게이트웨이, VPN, 경계 장비는 인터넷에 노출되어 있고 권한이 크며 일반 서버만큼 모니터링되지 않기 때문에 공격자가 선호하는 표적이 되었습니다. 최근 SonicWall SMA1000에서도 같은 양상이 보였습니다. 일본에서도 잇따른 정보 유출에 관한 JPCERT/CC와 IPA의 경고가 "노출된 장비의 알려진 취약점"을 가장 먼저 점검할 항목으로 꼽았습니다.

작은 회사에서는 위험이 주로 세 곳에 숨어 있습니다. "업체가 설치한" 뒤 아무도 기억하지 못하는 장비, 아무도 이전하려 하지 않는 오래된 브랜치(7.2 또는 7.0), 그리고 로그를 보는 사람이 없다는 점입니다. 침해된 FortiMail은 회사의 공식 서버에서 발송되므로 진짜처럼 보이는 피싱에도 악용될 수 있습니다.

빠른 체크리스트

• 지점, DMZ, 테스트 환경을 포함해 회사의 모든 FortiMail과 각각의 버전을 목록으로 만듭니다.
• 영향받는 버전이 있다면 오늘 완화 조치(IBE 비활성화 또는 웹메일 차단)를 적용합니다.
• 공식 권고문의 지표를 로그에서 찾고 모든 아카이브·전달 규칙을 검토합니다.
• 징후 없음: 8.0.2, 7.6.7 또는 7.4.9(이상)로 업데이트합니다.
• 징후 있음: 격리, 증거 보존, 재구축, 자격 증명 교체를 진행합니다.
• 7.2(또는 7.0): 7.4.9 이상으로의 이전 일정을 잡고 그때까지 완화 조치를 유지합니다.
• FortiMail Cloud 사용 중이라면: 공급업체나 파트너에게 확인하세요. 다만 Fortinet은 조치가 필요 없다고 밝혔습니다.

아직 알려지지 않은 것

Fortinet은 피해 규모, 공격 출처, 악성 요청의 기술적 세부 사항을 공개하지 않았습니다. 방어자에게 중요한 것은 버전, 완화 조치, 조사이므로 이를 찾아다닐 이유는 없습니다. 권고문과 KEV 카탈로그의 업데이트를 계속 확인하고, 중요한 변화가 있으면 이 기사를 업데이트하겠습니다.

출처

• Fortinet PSIRT: FG-IR-26-175 — FortiMail (CVE-2026-104286)
• CISA: Known Exploited Vulnerabilities Catalog (CVE-2026-104286)
• NVD: CVE-2026-104286
• Help Net Security: Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)
• CIS / MS-ISAC Advisory 2026-108: A Vulnerability in Fortinet FortiMail Could Allow for Arbitrary Code Execution
• ThreatFrontier: Exploited FortiMail Flaw Now Patched — Check for Compromise First

---

귀사의 비즈니스에도 도입해 보시겠어요?

KGA IT는 중소기업의 AI 어시스턴트, 업무 자동화, 웹사이트 구축을 지원합니다. 상담은 무료이며 24시간 이내에 답변드립니다. 요금제는 월 ¥5,000부터입니다.

• 전화: 080-9732-1062
• 이메일: kga-it@outlook.com
• 문의 페이지: kga-it.com/ko/contact