FortiMail 脆弱性 CVE-2026-104286——悪用確認、影響版と修正版

CVE-2026-104286 の概要——何が起き、なぜ即時対応が求められるか

2026年10月1日、Fortinet FortiMailのパストラバーサル脆弱性が公開された。CVE識別子はCVE-2026-104286。同日、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は「既知の悪用された脆弱性カタログ（KEV: Known Exploited Vulnerabilities）」にこの脆弱性を登録した（CISA KEV）。KEVへの掲載は、実際の攻撃での悪用が確認されたことを意味する。

CVSSスコアは9.8（CRITICAL）。ネットワーク越しに認証なしで到達でき、攻撃の複雑度は低く、ユーザー操作も不要という評価がFortinet（CNA）によって付与されている（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。CISAは米連邦機関に対して2026年10月4日を対処期限として設定した。この期限はKEV追加日（2026年10月1日）から3日後にあたる。この期限は米連邦機関向けの要件であり、日本企業への直接的な義務ではない。

なお、Fortinet公式ベンダー告知（PSIRT）の本文は取得できなかった。以下に示す影響バージョンと修正版はCVE公式記録（cve.org、2026年10月28日最終更新）に基づく。最終的な確認にはFortinet公式のセキュリティアドバイザリ（PSIRT、FG-IR-26-175）を参照されたい。

FortiMailと同じく、自社の機器が対象かどうかは、Cisco ASA・FTDのSSL VPN脆弱性で説明しています。

関連記事VMware ESXの脆弱性、CISA警告と対処は？

FortiMail 脆弱性 CVE-2026-104286 の技術的詳細——パストラバーサルが危険な理由

パストラバーサル（CWE-22）は、ファイルシステムのパス名を操作してアプリケーションが本来アクセスを制限しているディレクトリ外のファイルに到達する脆弱性の類型だ。../ などのシーケンスを含む細工されたパスを処理する際に、検証が不十分であれば制限ディレクトリの外へ脱出できる。

CVE-2026-104286では、認証されていない外部の攻撃者が細工したHTTPまたはHTTPSリクエストを送信するだけで、FortiMailが稼働するシステム上に任意のファイルを書き込める可能性があることをCVE公式記録（cve.org）が示している。CVSSでは機密性・完全性・可用性の三軸すべてが「高（H）」と評価されている。

EPSS（悪用確率の統計的推定値）は4.57%、パーセンタイルは91.6%（FIRST EPSS、2026年10月29日時点）。EPSSは確率の推定であり「悪用される」と断定するものではないが、パーセンタイル91.6%は、全CVEの中で悪用の確率が高い側に位置することを示す。加えてCISA KEVへの掲載により、実際の悪用が確認された状態にある。

影響を受けるFortiMailバージョンと修正版

CVE公式記録（cve.org、採番元CNA: Fortinet）が示す影響バージョンは以下のとおりだ。

FortiMailバージョン系列	影響を受ける範囲	CVE記録の修正版
8.0系	8.0.0 〜 8.0.1	8.0.2以降
7.6系	7.6.0 〜 7.6.6	7.6.7以降
7.4系	7.4.0 〜 7.4.8	7.4.9以降
7.2系	7.2.0 〜 7.2.9	7.2.10以降（CVE記録では「upcoming（近日公開予定）」）
7.0系	7.0.0 〜 7.0.9（系列全バージョン）	CVE記録の修正版一覧に7.0系はない

出典: cve.org CVE-2026-104286（2026年10月28日最終更新）。修正版はCVE公式記録の「solutions」欄の記載による。

CVE公式記録の「solutions」欄は、8.0.2以降、7.6.7以降、7.4.9以降への更新を示し、7.2系は「近日公開予定の7.2.10以降」としている。7.0系の修正版は同欄にない。公式の回避策はCVE記録に記載がない。Fortinet PSIRTの公式アドバイザリで最新の状況を確認することを推奨する。公式の回避策が示されていない段階では、非公式の代替手段を「回避策」として適用することは推奨されない。

FortiMail 脆弱性 CVE-2026-104286への対処

• 修正版へ更新する。修正版は上の表のとおりで、公式告知はFortinet PSIRT（FG-IR-26-175）にある。
• 公式の回避策は、CVE公式記録に記載がない。詳細は公式告知を参照。
• CISAの対処期限は2026年10月4日（米連邦機関向けで、日本企業への義務ではない）。ランサムウェアでの利用はKEV上「Unknown」。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

この記事で断定できないこと——判断上の留意点

本記事はCVE公式記録（cve.org）およびCISA KEVカタログの公開情報に基づいて執筆している。以下の点は現時点で一次情報として確認できていないため断定しない。

• Fortinet公式ベンダーアドバイザリ（PSIRT）の本文（取得できなかったため、修正版はCVE記録の記載による）
• 公式の回避策（CVE記録には記載なし）
• 悪用された攻撃キャンペーンの詳細・攻撃者の属性
• ランサムウェアでの利用の有無（CISA記録上「Unknown」）
• 日本企業を標的とした攻撃の実態（現時点で公開一次情報なし）

これらについては、Fortinet PSIRTの公式アドバイザリ、JPCERT/CCの注意喚起、およびCISA KEVカタログの更新情報を継続的に参照されたい。

---

参考文献

• CVE-2026-104286 — CVE公式記録: https://www.cve.org/CVERecord?id=CVE-2026-104286
• NVD — National Vulnerability Database: https://nvd.nist.gov/vuln/detail/CVE-2026-104286
• CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog