FortiMail 漏洞 CVE-2026-104286 已遭利用：Fortinet 10 月 1 日公告時修補版還寫「即將推出」，CISA 期限是 10 月 4 日，公告時間軸記載 10 月 5 日更新修補方案；CVE 紀錄的版本與修補欄位和公告對不上
趨勢新聞2026 年 10 月 12 日
Fortinet 2026 年 10 月 1 日發布安全公告 FG-IR-26-175：郵件安全閘道 FortiMail 有一個路徑穿越與 NULL 位元組處理不當的漏洞 CVE-2026-104286，CVSS 3 分數 9.8，可能讓未經驗證的攻擊者用特製的 HTTP 或 HTTPS 請求，在設備底層系統寫入任意檔案。公告寫明這個漏洞「已有遭實際利用的回報」（本站譯）。美國網路安全暨基礎設施安全局（CISA）同日把它列入「已知遭利用漏洞」（KEV）目錄，聯邦機關的處理期限是 10 月 4 日。公告首版的修補欄寫的是升級到「即將推出」的版本；公告時間軸記載 10 月 5 日「更新修補方案」，比 KEV 期限晚一天（這個日期不一定就是修補版首次釋出的日子，公告沒有寫）。
受影響與修補版本，依公告現行版（10 月 7 日更新）：8.0.0 到 8.0.1 升到 8.0.2 以上；7.6.0 到 7.6.6 升到 7.6.7 以上；7.4.0 到 7.4.8 升到 7.4.9 以上；7.2.0 到 7.2.9，公告沒有列 7.2 的修補版，要升到 7.4 以上的版本線（7.4 要 7.4.9 以上）。雲端版 FortiMail Cloud 由 Fortinet 在 10 月 5 日統一升到 7.6.7 GA 或 8.0.2 GA，客戶不必動作；公告時間軸把 10 月 7 日的更新標為「FortiMail Cloud 修補說明」。漏洞由 Fortinet 產品資安團隊的 Gwendal Guégniaud 內部發現，公告標示受影響元件是 GUI，「Virtual Patch」欄是「No」。
公告首版與現行版差在哪
網際網路檔案館（Wayback Machine）保存了這份公告 10 月 1 日 23:55:39（UTC）的版本，可以和現行版逐段對照。首版三條版本線的修補欄都寫「升級到即將推出的」8.0.2、7.6.7、7.4.9，時間軸只有「10 月 1 日首次發布」。緩解方式寫了兩種：用 CLI 關閉 IBE（以身分為基礎的郵件加密）功能，或不讓管理介面從網際網路連入、只開放給信任的內部網段。現行版的緩解方式改成三種：在 GUI 或 CLI 關閉 IBE；不讓 webmail 介面從網際網路連入，或只開放給信任的內部網段；設備前面有網頁應用程式防火牆的，擋下送往 /ibe、內容含 ../ 的 POST 請求。限制連線的對象從「管理介面」換成「webmail 介面」。
入侵指標也改了。首版列出 7 個檔案與雜湊值，包括新增的 /data/lib/liblog.so、/data/etc/ld.so.preload、/data/bin/webconsole，以及遭修改的 /bin/smit、/data/etc/httpd.conf；現行版拿掉了這份檔案清單，保留兩個 IP（79.141.169.187、45.129.0.192）和幾行日誌樣本。其中一行是管理者帳號新增了名為 archive234 的「封存帳號」，目的地是遠端 79.141.169.187 的 /uploads 目錄。本站推論：這筆設定可能是把郵件封存送往公告列出的可疑 IP；日誌本身證明不了那台主機由誰控制，也證明不了郵件是否已經送出，公告沒有解釋這一行，也沒說明為什麼拿掉檔案清單。首版存檔裡的雜湊值可以當歷史參考，比對沒命中不代表沒被入侵。
CVE 紀錄的版本欄位對不上
CVE-2026-104286 的 CVE 紀錄由 Fortinet 自己以 CNA 身分發布，最後更新是 10 月 7 日 17:59（UTC）。紀錄的文字描述在受影響版本與攻擊能力上與公告相符，但可供工具讀取的結構化「受影響版本」欄位寫的是：8.0.0（只有這一版）、7.6.0 到 7.6.5、7.4.0 到 7.4.6、7.2.0 到 7.2.9，另外多列了 7.0.0 到 7.0.9。和公告相比，8.0.1、7.6.6、7.4.7、7.4.8 四個受影響的版本不在欄位裡，公告沒提到的 7.0 版本線反而在，欄位預設狀態還是「不受影響」。同一筆紀錄的「修補方案」欄也對不上：寫的是升級到「即將推出的」8.0.1、7.6.6、7.4.8、7.2.10，前三個正是公告列為受影響的版本，後面還混了 FortiRecorder 的升級項目，以及「FortiMail Cloud 25.1（尚未釋出）」。美國國家漏洞資料庫（NVD）的紀錄狀態是「已分析」，最後修改時間 10 月 7 日 18:17（UTC），比對用的 CPE 範圍是 7.2.0 到 7.4.8、7.6.0 到 7.6.6、8.0.0 到 8.0.1，涵蓋公告列的版本、沒有 7.0；但 NVD 頁面轉載的 CNA 資料仍是 Fortinet 那份含 7.0 的版本清單。
本站推論：資產盤點或弱點掃描工具如果只依賴 CVE 紀錄的結構化欄位，可能把還停在 7.6.6 或 7.4.8 的設備判成不受影響，或把「升到 7.6.6」當成修補；本站沒有實測特定工具。7.0 到底有沒有受影響，本站讀到的文件判斷不了：公告沒有列 7.0，CVE 紀錄有列，兩者差異的原因 Fortinet 沒有在公告裡說明。CISA 10 月 2 日寫進 CVE 紀錄的 SSVC 評估，利用狀態是 active、可自動化是 yes、技術影響是 total。
各家怎麼報
Help Net Security（10 月 2 日，Sinisa Markovic，〈Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)〉）列的受影響版本與公告一致，並寫明修補版 8.0.2、7.6.7、7.4.9「尚未釋出」，和首版公告相符。eSecurity Planet（10 月 2 日，Matt Gonzales）列的修補版本也一致。Help Net Security 寫的緩解方式是關閉 IBE 或不讓「管理介面」從網際網路連入，eSecurity Planet 也寫管理介面，這是首版公告的寫法；現在才讀到這兩篇的管理者，要核對現行版的 webmail 介面限制與 WAF 規則。