2026年10月1日、Fortinetは、多くの企業が受信・送信メールを検査するためにメールボックスの前段に設置しているメールセキュリティゲートウェイ、FortiMailの脆弱性に関するアドバイザリーを公開しました。この脆弱性CVE-2026-104286は10点満点中9.8と評価され、アカウントもパスワードも持たない攻撃者が悪用でき、Fortinetによると実際に悪用されています。同日、サウジアラビア国家サイバーセキュリティ庁（NCA）は深刻度「重大」の警告2026-7895を発出し、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は既知の悪用された脆弱性カタログにこれを追加しました。
この脆弱性がIT部門より先に経営陣にとって重要な理由
先週、私たちはシスコの拠点ネットワーク管理製品で悪用された脆弱性と、社内の管理対象システムに誰がパッチを当てるのかという問題について書きました。今回の脆弱性は、IT部門より先に経営陣にとって重要な点で異なります。Fortinetが公開した侵害の痕跡（IoC）の中に、攻撃者が外部サーバーを宛先とするメールアーカイブアカウントを追加したことを示すログ行があるのです。ここでのリスクは機器だけにとどまりません。会社のメールそのものに及びます。
Fortinetが公開した内容
- 製品：FortiMail、Fortinetのメールセキュリティゲートウェイ。
- 脆弱性：パストラバーサルの弱点と、リクエスト内のNULLバイトの不適切な処理が組み合わさったもので、細工されたHTTPまたはHTTPSリクエストによって機器自身のシステムにファイルを書き込むことができます。Fortinetは影響を、不正なコードまたはコマンドの実行と評価しています。
- 前提条件：なし。認証されていないリモートの攻撃者で、CVSSスコアは10点満点中9.8です。
- 状況：Fortinetによると実際に悪用されており、同社のセキュリティチームが社内で発見しました。
- 修正：アドバイザリーの公開時点では更新プログラムはまだ提供されておらず、SecurityWeekは10月2日、修正は今後のバージョンで提供されるもののリリース日は示されていないと報じました。その後、Fortinetのリリースノートではバージョン7.6.7が10月2日付、バージョン7.4.9と8.0.2が10月3日付となっており、10月5日にFortinetはアドバイザリーの解決策セクションを更新しました。修正済みバージョンは下の表のとおりです。
- 国内の警告：国家サイバーセキュリティ庁の警告2026-7895、2026年10月1日付、深刻度「重大」で、影響を受ける製品の更新を推奨しています。
- 米国の期限：CISAは米国連邦機関に10月4日まで、つまり三日間の期限を与え、この脆弱性をフォレンジックトリアージ要件の対象としました。2026年初め以降、同庁がカタログに追加したFortinetの脆弱性はこれで八件目です。
アドバイザリーによる影響を受けるバージョンと修正済みバージョン：
| リリース系列 | 影響を受けるバージョン | 修正 |
|---|---|---|
| 8.0 | 8.0.0から8.0.1まで | 8.0.2以降 |
| 7.6 | 7.6.0から7.6.6まで | 7.6.7以降 |
| 7.4 | 7.4.0から7.4.8まで | 7.4.9以降 |
| 7.2 | 7.2.0から7.2.9まで | 7.4系列以降へ移行 |
最後の行に注意してください。7.2系列には系列内での修正が提供されません。別の系列への移行が必要で、計画が必要ですが、先延ばしにはできません。
メールゲートウェイがこれほど重要な理由
メールゲートウェイはインターネットと社員のメールボックスの間にあるため、送受信されるすべてのメッセージがここを通過します。見積書、取引先の請求書、契約書、銀行とのやり取り、そして銀行口座情報の変更依頼です。だからこそ、メールに対して広い権限を持っています。メッセージを検査し、隔離し、暗号化し、アーカイブするシステムなのです。
この脆弱性が悪用する経路は、IBE機能、つまりIDベース暗号化に属しています。FortiMailはこれを使って暗号化メッセージを送信し、受信者はWebポータルを通じてそれを開きます。多くの構成では、社外の受信者が利用できるよう、このポータルはインターネットからアクセス可能になっています。
チームが探すべき痕跡：誰も作成していないアーカイブアカウント
Fortinetはアドバイザリーと併せて侵害の痕跡を公開しました。その中には二つのIPアドレス、79.141.169.187と45.129.0.192、そしてarchive234という名前のアーカイブアカウントが追加されたことを示すシステムイベントログの行が含まれています。その宛先はリモートサーバーで、同じアドレス79.141.169.187の/uploadsというディレクトリです。同じ行は、この変更がユーザー名adminでコマンドラインから行われたことも示しています。
この行の意味を理解するために説明すると、FortiMailのアーカイブ機能はアーカイブしたメッセージをアーカイブアカウントに保存し、各アカウントには宛先があります。宛先はローカル、つまり機器のディスクやネットワークストレージサーバーの場合もあれば、リモート、つまり機器がFTPまたはSFTPで接続するサーバーの場合もあります。どのメッセージをアーカイブするかは、別のアーカイブポリシーで決まります。したがって、攻撃者のサーバーに向けられたアーカイブアカウントは、アーカイブポリシーが紐付けられた時点で、メッセージを社外にコピーする経路になります。アドバイザリーは、確認された事例で実際にメールがコピーされたかどうかについては述べていません。
IT部門またはサービス提供者に依頼すべきこと：
- 機器上のすべてのアーカイブアカウントとアーカイブポリシーを確認し、社内の誰も把握していないリモート宛先があれば問いただす。
- 公開された二つのアドレス、そしてarchive234という名前のアカウントや作成者不明の最近のアーカイブアカウントをログで検索する。
- 機器上の管理者アカウントと、誰も説明できない設定変更を確認する。
- パッチ適用前にログと設定のコピーを保存する。設定は通常アップグレード後も残るため、事前に追加されたアカウントは誰かが削除するまで残ります。パッチは扉を閉じます。誰がそこを通ったかは教えてくれません。
今夜パッチを適用できない場合
Fortinetは三つの選択肢からなる回避策を示しています。
- GUI（Encryption、次にIBE、次にIBE Serviceをオフ）またはコマンドラインでIBE機能を無効にする。
- または、FortiMailのWebメールインターフェースへのインターネットからのアクセスを遮断するか、信頼できるプライベートネットワークに限定する。
- または、機器の前段にWebアプリケーションファイアウォールがある場合は、../ を含む/ibe宛てのPOSTリクエストをブロックする。
IBEを無効にすると、その機能による暗号化配信が止まるため、依存している部署があれば一時的な代替手段をその部署と取り決めてください。回避策は脆弱性に到達できる範囲を狭めるものです。アップグレードの代わりにはならず、それ以前に何が起きたかを確認する必要もなくなりません。
本当の被害は数週間後に財務部門に及ぶ
メールのコピーそのものが目的ではありません。取引先とのやり取りを読んだ者は、誰が、いつ、どのような形式で請求書を送ってくるのか、どの発注が支払い待ちなのかを知ることができます。それこそが請求書の振込先変更詐欺に必要な材料です。実際のやり取りの中で、取引先から送られたように見えるメッセージが、次の支払いを新しい銀行口座に送るよう求めるのです。
この種の詐欺を止めるのに技術は要りません。財務チームが今日から守るルールが必要です。
- 取引先の銀行口座は、どれほど本物らしく見えても、メールだけを根拠に変更しない。
- 確認は取引先の登録情報にすでにある番号への電話で行い、メッセージ自体に記載された番号は決して使わない。
- 取引先の銀行口座情報の変更には、入力した人とは別の第二の担当者の承認が必要で、システムは誰がいつ変更したかを記録する。
- 新しい銀行口座への最初の支払いは、他の支払いより入念に確認する。
銀行口座情報の変更フローをシステムに組み込む方法は、定期的な取引先支払いと取引明細の照合に関する記事で説明しました。
メッセージがコピーされていたと判明した場合
見覚えのないアーカイブアカウントや、メッセージがコピーされた証拠をチームが見つけた場合は、設定ミスではなくデータ侵害として扱ってください。メールには通常、顧客の氏名、携帯電話番号、住所といった個人データが含まれているからです。サウジデータ・人工知能庁（SDAIA）の個人データ侵害インシデントに関する手続きガイドは、データやその本人に害を及ぼすおそれのある、またはその権利や利益と相反するおそれのあるインシデントを認識してから72時間以内に、管理者が所管当局に通知すること、そしてインシデントが本人のデータに害を及ぼす、またはその権利や利益と相反する場合には、不当な遅延なく影響を受けたデータ主体に通知することを求めています。やり取りが流出した取引先や顧客にも知らせてください。貴社の名前をかたった詐欺メッセージが届く可能性があるからです。
Origamiの見解
私たちは業務システムを開発しています。メール機器の販売や運用は行っていません。しかし、私たちが開発するすべてのシステムはメールを送信します。請求書、注文確認、取引明細です。私たちの考えでは、会社のメールをコピーできる権限は、会計システムへのアクセスと同じくらい厳しく管理されるべきです。請求書も銀行口座情報の変更依頼も、システムに届く前にメールを経由するからです。
サウジの事業者にとって、この脆弱性には二つの意味があると私たちは考えます。第一に、セキュリティ機器そのものが繰り返し標的になっているため、メールを守るために購入した機器にも、その警告を追い、他のシステムと同様に更新する担当者が必要です。第二に、盗まれたやり取りへの最善の対応は技術的なものだけではありません。財務部門での電話確認ルールは、侵入が発見されなかったとしても、盗まれたメールに基づく詐欺を阻止します。
まとめ
- 貴社がFortiMailを使っているなら、今日バージョンを確認し、8.0.2、7.6.7、7.4.9以降にアップグレードし、7.2系列は7.4以降に移行してください。
- アップグレードまでは、IBEを無効にするか、Webメールインターフェースへのインターネットからのアクセスを遮断してください。
- アーカイブアカウントとポリシーを確認し、公開された二つのアドレスを検索し、パッチ適用前にログを保存してください。
- 今日、財務部門に伝えてください。既知の番号への電話確認と第二の承認者なしに、取引先の銀行口座を変更しないこと。
- コピーされたメッセージに個人データが含まれ、侵害が関係者に害を及ぼす、またはその権利や利益と相反するおそれがある場合、所管当局への通知期限はインシデントを認識してから72時間です。
出典
- Fortinet：CVE-2026-104286に関するアドバイザリーFG-IR-26-175（2026年10月1日公開、10月5日更新）、バージョン、回避策、侵害の痕跡の出典
- 国家サイバーセキュリティ庁（NCA）：Fortinetに関する警告2026-7895（2026年10月1日）
- CISA：既知の悪用された脆弱性一件をカタログに追加（2026年10月1日）、およびカタログ本体
- SecurityWeek：Exploited Fortinet FortiMail Zero-Day Calls for Urgent Action（2026年10月2日）
- Fortinet：FortiMail管理ガイド、メールアーカイブアカウントの設定
- Fortinet：FortiMailリリースノート 7.6.7、7.4.9、8.0.2
- サウジデータ・人工知能庁（SDAIA）：個人データ侵害インシデント手続きガイド
よくある質問
自社がFortiMailを使っているかどうかは、どうすればわかりますか？
IT部門またはメールプロバイダーに直接尋ねてください。「社員のメールボックスに届く前に、何が私たちのメールを検査しているのか、そのバージョンは何か」と。FortiMailであれば、バージョン番号を書面で受け取り、修正済みバージョンと比較してください。8.0.2、7.6.7、7.4.9以降です。なお7.2系列は7.4以降への移行が必要です。
機器にはパッチを適用しました。これで終わりですか？
いいえ。この脆弱性は修正が存在する前に悪用されており、パッチは扉を閉じるだけで、攻撃者が事前に追加したものは何も削除しません。アーカイブアカウントとポリシー、管理者アカウントを確認し、Fortinetが公開した二つのアドレスである79.141.169.187と45.129.0.192をログで検索してください。理想的には、パッチ適用前にログと設定のコピーを保存してください。
当社のメールはMicrosoft 365またはGoogleで運用しています。影響はありますか？
脆弱性はメールサービスそのものではなく、FortiMailにあります。メールがMicrosoft 365やGoogleに届く前、または送信時にFortiMailゲートウェイを通過する場合、この警告は貴社に当てはまります。FortiMailがなければこの脆弱性の影響は受けませんが、銀行口座変更の確認ルールはいずれにせよ設けておく価値があります。
取引先から、支払いを新しい銀行口座に送るよう求めるメールが届きました。どうすればよいですか？
そのメールには返信せず、メールに記載された番号も一切頼らないでください。取引先の登録情報にすでにある番号に電話し、先方の知っている担当者から確認を取ってください。そのうえで、システム上の変更は入力した人とは別の第二の担当者による承認を経るようにし、新しい口座への最初の支払いは他の支払いより入念に確認してください。
