FortiMail CVE-2026-104286: kelemahan kritikal yang dieksploitasi kini ada pembaikan — semak pencerobohan dahulu

Jika syarikat anda menggunakan FortiMail — get laluan e-mel Fortinet yang menapis spam, pancingan data (phishing) dan perisian hasad sebelum mesej sampai ke peti masuk — amaran ini tidak boleh ditangguhkan hingga tetingkap penyelenggaraan seterusnya. Kelemahan CVE-2026-104286, dengan skor CVSS 9.8, membolehkan seseorang tanpa log masuk menulis fail sewenang-wenangnya pada peranti, dan Fortinet sendiri mengesahkan ia sudah dieksploitasi.

Berita baiknya, versi yang dibaiki tersedia sejak 5 Oktober. Berita yang kurang baik, mengemas kini sahaja tidak mencukupi: jika peranti telah diceroboh sebelum tampalan, apa yang ditinggalkan penyerang masih ada di dalamnya. Di bawah ialah apa yang diketahui, siapa yang terjejas dan susunan tindakan yang betul.

Apakah kelemahan ini

Menurut nasihat keselamatan FG-IR-26-175 yang diterbitkan pada 1 Oktober 2026, ia gabungan dua kelemahan: path traversal (CWE-22) dan pengendalian bait NULL yang tidak betul (CWE-158). Secara praktikal, permintaan HTTP atau HTTPS yang dimanipulasi boleh menulis fail di luar direktori yang sepatutnya ditulis oleh perkhidmatan web. Fortinet menilai kesannya sebagai "pelaksanaan kod atau arahan tanpa kebenaran" dan menandakannya sebagai diketahui dieksploitasi.

Komponen yang terdedah berkait dengan IBE (Identity Based Encryption), ciri FortiMail yang membolehkan penerima di luar syarikat membuka e-mel tersulit melalui portal web. Oleh kerana IBE hanya berfungsi jika portal itu boleh dicapai dari internet, banyak peranti terdedah secara reka bentuk.

Kelemahan ini ditemui secara dalaman oleh Gwendal Guégniaud daripada pasukan keselamatan produk Fortinet. Fortinet tidak menyatakan siapa di sebalik serangan, bila ia bermula atau berapa ramai pelanggan terjejas.

Agensi Amerika Syarikat CISA menambah CVE ini ke katalog KEV (kelemahan yang diketahui dieksploitasi) pada hari yang sama, dengan tarikh akhir 4 Oktober untuk agensi persekutuan, dan menandakannya sebagai memerlukan triaj forensik di bawah arahan BOD 26-04 — maksudnya, menampal sahaja tidak cukup; anda perlu menyemak sama ada berlaku pencerobohan. Kami pernah membincangkan arahan ini dalam kes Ivanti Sentry.

Versi yang terjejas

Tiga perkara perlu diberi perhatian:

• FortiMail Cloud telah dibaiki oleh Fortinet pada 5 Oktober (semua perisian tegar dinaikkan ke 7.6.7 atau 8.0.2). Pelanggan awan tidak perlu berbuat apa-apa.
• Cabang 7.2 tidak akan menerima pembaikan. Pengguna 7.2 perlu merancang perpindahan ke 7.4.9 atau lebih baharu — dan versi 7.4 sebelum 7.4.9 juga terdedah.
• ThreatFrontier mendapati rekod yang dihantar Fortinet ke NVD turut menyenaraikan FortiMail 7.0.0 hingga 7.0.9, walaupun jadual nasihat itu tidak menyebut cabang 7.0. Jika anda masih menggunakan 7.0, anggap peranti itu terdedah.

Jika belum boleh mengemas kini: mitigasi rasmi

Sementara menunggu kemas kini, Fortinet memberikan tiga pilihan, daripada yang paling kuat hingga paling terhad:

1. Matikan IBE jika syarikat boleh berfungsi tanpanya: dalam GUI, di Encryption → IBE → IBE Service, tetapkan kepada "off". Melalui CLI, nasihat itu menyediakan blok config system encryption ibe / set status disable / end.
2. Keluarkan webmail FortiMail daripada internet, atau benarkan akses hanya dari rangkaian peribadi yang dipercayai.
3. Jika ada WAF (tembok api aplikasi web) di hadapan FortiMail, sekat permintaan POST yang diterangkan Fortinet dalam nasihat itu.

Langkah ini mengurangkan risiko pada masa hadapan, tetapi tidak membatalkan pencerobohan yang sudah berlaku.

Semak pencerobohan sebelum mengemas kini

Inilah langkah yang sering dilangkau. Kemas kini membaiki kelemahan, tetapi tidak membuang fail, akaun atau tugas berjadual yang mungkin dicipta penyerang. Jadi susunan yang disyorkan ialah: mitigasi → siasat → kemas kini.

Fortinet menerbitkan petunjuk kompromi (IoC) dalam nasihat itu sendiri: dua alamat IP sumber dan corak log untuk dicari. Kami tidak menyalin petunjuk itu di sini — sentiasa gunakan versi terkini nasihat rasmi. Secara umum, tanda yang diterangkan termasuk:

• tugas berjadual (cron) yang berjalan sebagai root yang anda tidak kenali;
• rekod log keluar pentadbir dari sumber "(null)";
• akaun arkib ("archive account") yang dikonfigurasi untuk menghantar salinan ke pelayan jauh yang tidak dikenali;
• ralat penyahkodan dalam log penyulitan dan percubaan log masuk pengguna dalaman yang gagal.

Akaun arkib ialah perkara paling serius bagi kebanyakan syarikat. Get laluan e-mel melihat setiap mesej; peraturan arkib berniat jahat bermaksud kecurian e-mel yang senyap dan berterusan. Menurut ThreatFrontier, versi asal nasihat itu juga menyenaraikan fail sistem yang ditambah atau diubah (dengan hash), senarai yang kemudiannya dibuang daripada halaman.

Jika anda menemui sebarang tanda:

• anggap peranti itu telah dikompromi;
• simpan log dan cakera sebelum menyentuh apa-apa;
• bina semula daripada imej yang bersih, bukan sekadar memadam fail mencurigakan;
• tukar kata laluan pentadbir dan sebarang kunci atau sijil yang disimpan pada peranti;
• anggap e-mel yang diarkibkan mungkin telah dibaca dan nilai kewajipan pemberitahuan anda.

Mengapa ini penting untuk PKS

Get laluan e-mel, VPN dan peranti sempadan menjadi sasaran kegemaran kerana ia terdedah kepada internet, mempunyai akses berkeistimewaan dan jarang dipantau seperti pelayan biasa. Kami melihat corak yang sama baru-baru ini dengan SonicWall SMA1000. Di Jepun, amaran JPCERT/CC dan IPA tentang gelombang kebocoran data juga meletakkan "kelemahan diketahui pada peralatan terdedah" antara perkara pertama untuk disemak.

Bagi syarikat kecil, risiko biasanya terletak di tiga tempat: peranti yang "dipasang oleh vendor" dan tiada siapa lagi ingat; cabang lama (7.2 atau 7.0) yang tiada siapa mahu pindahkan; dan ketiadaan orang yang memantau log. FortiMail yang dikompromi juga boleh digunakan untuk menghantar phishing yang kelihatan sah, kerana ia datang dari pelayan rasmi syarikat.

Senarai semak pantas

• Senaraikan setiap FortiMail dalam syarikat, termasuk cawangan, DMZ dan persekitaran ujian, beserta versi masing-masing.
• Jika ada yang menggunakan versi terjejas, laksanakan mitigasi (matikan IBE atau tutup webmail) hari ini.
• Cari petunjuk daripada nasihat rasmi dalam log dan semak semua peraturan arkib dan pemajuan.
• Tiada tanda: kemas kini ke 8.0.2, 7.6.7 atau 7.4.9 (atau lebih baharu).
• Ada tanda: asingkan, simpan bukti, bina semula dan tukar kelayakan.
• Pada 7.2 (atau 7.0): jadualkan perpindahan ke 7.4.9+ dan kekalkan mitigasi sehingga itu.
• Menggunakan FortiMail Cloud? Sahkan dengan pembekal atau rakan kongsi anda, tetapi Fortinet menyatakan tiada tindakan diperlukan.

Apa yang masih belum diketahui

Fortinet belum mendedahkan bilangan mangsa, asal serangan atau butiran teknikal permintaan berniat jahat itu — dan tiada sebab untuk mencarinya: yang penting bagi pihak pertahanan ialah versi, mitigasi dan siasatan. Kami akan mengikuti kemas kini nasihat dan katalog KEV serta mengemas kini artikel ini jika ada perubahan penting.

Sumber

• Fortinet PSIRT: FG-IR-26-175 — FortiMail (CVE-2026-104286)
• CISA: Known Exploited Vulnerabilities Catalog (CVE-2026-104286)
• NVD: CVE-2026-104286
• Help Net Security: Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)
• CIS / MS-ISAC Advisory 2026-108: A Vulnerability in Fortinet FortiMail Could Allow for Arbitrary Code Execution
• ThreatFrontier: Exploited FortiMail Flaw Now Patched — Check for Compromise First

---

Mahu manfaatkan ini untuk perniagaan anda?

KGA IT membantu perniagaan kecil dan sederhana menyediakan pembantu AI, automasi dan laman web. Konsultasi adalah percuma dan kami membalas dalam masa 24 jam. Pelan bermula dari ¥5,000/bulan.

• Telefon: 080-9732-1062
• E-mel: kga-it@outlook.com
• Halaman hubungi: kga-it.com/ms/contact