如果贵公司在使用 FortiMail（Fortinet 的邮件网关，在邮件进入收件箱之前过滤垃圾邮件、钓鱼和恶意软件），那么这次预警不能等到下一个维护窗口再处理。漏洞 CVE-2026-104286（CVSS 9.8）允许攻击者在 无需登录 的情况下向设备写入任意文件，Fortinet 本身也确认它 已被在野利用。
好消息是，自 10 月 5 日起已有修复版本。不太好的消息是，仅仅升级并不够：如果设备在打补丁之前已被入侵，攻击者留下的东西仍然在里面。下面整理已知情况、受影响范围以及正确的处置顺序。
漏洞是什么
根据 2026 年 10 月 1 日发布的安全公告 FG-IR-26-175，这是两个弱点的组合：路径遍历（CWE-22）和 对空字节处理不当（CWE-158）。实际上，精心构造的 HTTP 或 HTTPS 请求可以把文件写到 Web 服务本应写入的目录之外。Fortinet 将影响评为"执行未经授权的代码或命令"，并标记为 已知被利用。
存在漏洞的组件与 IBE（Identity Based Encryption，基于身份的加密）有关。IBE 是 FortiMail 的一项功能，允许公司外部的收件人通过 Web 门户打开加密邮件。由于 IBE 只有在门户可从互联网访问时才能工作，许多设备从设计上就是暴露的。
该漏洞由 Fortinet 产品安全团队的 Gwendal Guégniaud 在内部发现。Fortinet 没有透露攻击者是谁、攻击何时开始以及有多少客户受害。
美国 CISA 于同日将该 CVE 加入 KEV（已知被利用漏洞）目录，要求联邦机构在 10 月 4 日前处理，并根据 BOD 26-04 指令将其标记为 需要取证分诊 的条目——也就是说，不仅要打补丁，还必须确认是否已被入侵。我们在 Ivanti Sentry 一文中也介绍过这项指令。
受影响的版本
| 分支 | 受影响版本 | Fortinet 的解决方案 |
|---|---|---|
| FortiMail 8.0 | 8.0.0 至 8.0.1 | 升级到 8.0.2 或更高 |
| FortiMail 7.6 | 7.6.0 至 7.6.6 | 升级到 7.6.7 或更高 |
| FortiMail 7.4 | 7.4.0 至 7.4.8 | 升级到 7.4.9 或更高 |
| FortiMail 7.2 | 7.2.0 至 7.2.9 | 迁移到 7.4 或更高分支 |
需要注意三点：
- FortiMail Cloud 已由 Fortinet 于 10 月 5 日修复（所有固件已升级到 7.6.7 或 8.0.2），云端客户无需任何操作。
- 7.2 分支不会获得修复。 使用 7.2 的用户需要规划迁移到 7.4.9 或更高版本，而 7.4.9 之前的 7.4 版本同样存在漏洞。
- 据 ThreatFrontier 观察，Fortinet 提交给 NVD 的记录中还包括 FortiMail 7.0.0 至 7.0.9，但公告的表格中没有提到 7.0 分支。如果仍在使用 7.0，请将设备视为暴露状态。
暂时无法升级：官方缓解措施
在升级之前，Fortinet 给出了三种方法，从最有效到最有限：
- 关闭 IBE（如果业务可以不用它）：在图形界面中进入 Encryption → IBE → IBE Service，设为"off"。命令行方式见公告中的
config system encryption ibe/set status disable/end。 - 让 FortiMail 的 Webmail 不再暴露在互联网上，或仅允许来自可信私有网络的访问。
- 如果 FortiMail 前面有 WAF（Web 应用防火墙），拦截公告中描述的 POST 请求。
这些措施能降低今后的风险，但 无法撤销已经发生的入侵。
升级之前先检查是否被入侵
这是许多团队会跳过的一步。升级会修复漏洞，但不会删除攻击者创建的文件、账户或计划任务。因此推荐的顺序是：缓解 → 调查 → 升级。
Fortinet 在公告中公布了入侵指标（IoC）：两个来源 IP 地址以及需要搜索的日志模式。本文不转载这些指标——请始终以最新版 官方公告 为准。概括来说，所描述的迹象包括：
- 你不认识的 以 root 身份运行的计划任务（cron）；
- 来源为"(null)"的管理员注销 记录；
- 一个 配置为向未知远程服务器发送副本的"归档账户"（archive account）；
- 加密日志中的解码错误，以及内部用户登录失败。
对大多数企业来说，归档账户是最严重的一项。邮件网关能看到 所有 邮件；一条恶意归档规则意味着悄无声息、持续不断的邮件窃取。据 ThreatFrontier 称，最初版本的公告还列出了被新增或修改的系统文件（附哈希值），但该列表后来从页面上删除了。
如果发现任何迹象：
- 将设备视为 已被入侵；
- 在动手之前 保全日志和磁盘；
- 从干净的镜像重建，而不是只删除可疑文件；
- 更换管理员密码 以及设备上保存的任何密钥或证书；
- 假定 归档邮件可能已被读取，并评估通报义务。
为什么这对中小企业很重要
邮件网关、VPN 和边界设备已成为攻击者青睐的目标，因为它们暴露在互联网上、拥有高权限，而且很少像普通服务器那样被监控。最近的 SonicWall SMA1000 事件也呈现了同样的模式。在日本，JPCERT/CC 和 IPA 关于 数据泄露潮 的预警同样把"暴露设备中的已知漏洞"列为首要检查项。
对小公司来说，风险通常藏在三个地方：一台"供应商装好之后"就没人记得的设备；没人愿意迁移的旧分支（7.2 或 7.0）；以及没有人查看日志。被入侵的 FortiMail 还可能被用来发送 看起来很真实的钓鱼邮件，因为邮件来自公司的官方服务器。
快速检查清单
- 列出公司 所有 FortiMail，包括分支机构、DMZ 和测试环境，并记录每台的版本。
- 如有受影响版本，今天 就实施缓解措施（关闭 IBE 或关闭 Webmail 对外访问）。
- 在日志中搜索官方公告中的指标，并检查所有归档和转发规则。
- 未发现迹象：升级到 8.0.2、7.6.7 或 7.4.9（或更高）。
- 发现迹象：隔离、保全证据、重建并更换凭据。
- 使用 7.2（或 7.0）：安排迁移到 7.4.9 及以上，在此之前保持缓解措施。
- 使用 FortiMail Cloud？可向服务商或合作伙伴确认，但 Fortinet 表示无需任何操作。
尚不清楚的情况
Fortinet 尚未披露受害者数量、攻击来源或恶意请求的技术细节——也没有必要去寻找这些：对防御方来说，重要的是版本、缓解措施和调查。我们将持续关注公告和 KEV 目录的更新，如有重要变化会更新本文。
来源
- Fortinet PSIRT: FG-IR-26-175 — FortiMail (CVE-2026-104286)
- CISA: Known Exploited Vulnerabilities Catalog (CVE-2026-104286)
- NVD: CVE-2026-104286
- Help Net Security: Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)
- CIS / MS-ISAC Advisory 2026-108: A Vulnerability in Fortinet FortiMail Could Allow for Arbitrary Code Execution
- ThreatFrontier: Exploited FortiMail Flaw Now Patched — Check for Compromise First
想把这些带到您的业务中吗？
KGA IT 帮助中小企业部署 AI 助手、业务自动化和网站。咨询免费，我们会在 24 小时内回复。方案每月 ¥5,000 起。
- 电话: 080-9732-1062
- 邮箱: kga-it@outlook.com
- 联系页面: kga-it.com/zh/contact