FortiMailに脆弱性7件 認証不要、悪用は未確認
FortiMailに、認証なしで悪用できる深刻な脆弱性が7件公表されました。3件はコード実行、4件はメール利用者のアカウント奪取につながります。自社運用の組織は版を確認し、修正版への更新を急いでください。
同じ発表の脆弱性 8 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
急ぎ度: 至急
7件すべてが認証なしで悪用でき、最大でCVSS v3は9.8ですが、Fortinetの勧告では悪用はまだ確認されておらず、CVE-2026-126148には修正版が出ています。
関係があるか
FortiMailを自社のサーバーや仮想アプライアンスで運用している組織が対象です。IBE webmailでメールを暗号化配送している環境は、アカウント奪取の脆弱性も重なります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| FortiMail 8.0 | 8.0.0〜8.0.1（7件すべて。CVE-2026-126150は8.0.0のみ） | CVE-2026-126148は8.0.2以上。ほか6件の修正版は、FortiGuard PSIRTの各勧告で確認してください |
| FortiMail 7.6 | 7.6.0〜7.6.6（7件すべて。CVE-2026-126150は7.6.5まで） | CVE-2026-126148は7.6.7以上。ほか6件は各勧告で確認してください |
| FortiMail 7.4 | 7.4.0〜7.4.8（6件。CVE-2026-126148は対象外、CVE-2026-126150は7.4.7まで） | 対象の6件の修正版は各勧告で確認してください |
| FortiMail 7.2 | 7.2.0〜7.2.9の全版（6件。CVE-2026-126148は対象外） | 対象の6件の修正版は各勧告で確認してください |
| FortiMail 7.0 | 7.0.0〜7.0.9（CVE-2026-126157のみ） | 各勧告で確認してください |
| FortiMail Cloud | CVE-2026-126148の対象。Fortinetが2026年10月5日に、ファームウェアをv7.6.7 GAまたはv8.0.2 GAへ更新済み | CVE-2026-126148についてCloudの利用者に必要な作業はありません。ほか6件は各勧告で確認してください |
確かめ方
- 1管理画面のシステム情報か、CLIの
get system statusでFortiMailの版を確認し、上の表の範囲に入るか照らします。 - 2IBE webmailを有効にしているか、HA構成にしているかを設定で確認します。IBEはCVE-2026-126150、126155、126156、126157の影響範囲、HAはCVE-2026-126148の入口に関わります。
- 3FortiMail Cloudの利用者は、自社のファームウェアがv7.6.7 GAまたはv8.0.2 GA以降かを確認します。
何が起きたか
FortiMailの複数の機能で、入力値の検証や認可の判定に不備が見つかりました。悪用されると、任意のコードやコマンドが実行されるか、IBE webmailを使う利用者のアカウントが乗っ取られます。
- CVE-2026-126148: HAのjoin-requestパケットを通じて、OSコマンドが実行される（CVSS v3は9.8）
- CVE-2026-126147: パス指定の検証不備により、不正なコードやコマンドが実行される（CVSS v3は9.8）
- CVE-2026-126164: SQLインジェクションにより、不正なコードやコマンドが実行される（CVSS v3は9.4）
- CVE-2026-126150: パスワード回復の仕組みの弱さにより、IBE webmail利用者のパスワードを任意にリセットされ、アカウントを奪われる（CVSS v3は9.1）
- CVE-2026-126157: 認証の不備により、ほかの利用者のセキュアメールのアカウントに入られる（CVSS v3は9.1）
- CVE-2026-126155: 認可の誤りにより、任意のIBE受信者として認証済みのwebmailセッションを得て、暗号化メールを読まれたり送られたりする（CVSS v3は9.1）
- CVE-2026-126156: ユーザーが操作できる鍵による認可回避で、任意のIBE受信者のアカウントを乗っ取られる（CVSS v3は9.1）
CWEの分類は、CVE-2026-126148がCWE-78（勧告の本文ではCWE-77）、CVE-2026-126147がCWE-22、CVE-2026-126164がCWE-89、CVE-2026-126150がCWE-640、CVE-2026-126157がCWE-287、CVE-2026-126155がCWE-863、CVE-2026-126156がCWE-639です。CVE-2026-126148のCVSSベクターには、概念実証コードの存在を示すE:Pが付いています。
攻撃の流れ
-
1
FortiMailに到達
攻撃者がネットワーク越しに、FortiMailのHA機能やwebmailなど、対象の機能へ接続します。
-
2
細工した要求を送信
認証を経ずに、HAのjoin-requestパケットや細工したHTTPリクエストを送ります。
-
3
検証や認可を突破
入力値の検証や、認証・認可の判定の不備をすり抜けます。
-
4
実行または乗っ取り
コードやコマンドの実行、またはIBE webmailのアカウント奪取に至ります。
どう悪用されるか
7件とも、認証が要らない攻撃者がネットワーク越しに悪用できます。CVE-2026-126148はHAのjoin-requestパケット、ほかの6件は細工したHTTPリクエストが入口です。利用者の操作が要るかどうかは、CVE-2026-126148以外は示されていません。
CVE-2026-126148、126147、126164は、不正なコードやコマンドの実行に至ります。メールの中継と検査を担う機器の上で他人のコードが動くため、機器の制御権を握られる前提で考える必要があります。
CVE-2026-126150、126155、126156、126157は、IBE webmailなどのセキュアメールの利用者アカウントに及びます。他人になりすましたログインやパスワードのリセットが可能になり、暗号化メールの閲覧や送信が起こり得ます。CVE-2026-126157以外は、IBE webmailが前提です。
今すぐやること
-
1
FortiMailの版を確認する
運用中の全台で版を確認し、対象範囲に入る機器を洗い出します。HA構成なら両方の機器を見ます。
get system status -
2
修正版に更新する
FortiGuard PSIRTのFG-IR-26-200と、ほか6件の各勧告で修正版を確認し、順に適用します。CVE-2026-126148は、8.0系が8.0.2以上、7.6系が7.6.7以上で修正されています。7.4・7.2・7.0系で更新先が示されていない件は、勧告の記載に従ってください。
-
3
到達できる範囲を絞る
HA用の通信は、対向の機器が置かれたセグメントからだけ受け付けるようにします。IBE webmailと管理画面は、インターネットへの公開範囲と、許可する送信元を見直します。
-
4
IBE webmailの履歴を点検する
IBEを使っている環境では、身に覚えのないパスワードリセット、普段と違う場所からのログイン、不審な送信がないかをログで調べます。見つかったら、該当アカウントのパスワードを再設定し、関係する相手に連絡します。
-
5
FortiMail Cloudは勧告で範囲を確認する
CVE-2026-126148についてはCloud側で修正済みで、利用者の作業は不要です。ほか6件がCloudにどう及ぶかは、各勧告で確かめます。
すぐ更新できないとき
CVE-2026-126148の勧告には回避策の記載がなく、仮想パッチも提供されていません（Virtual Patch: No）。修正版を当てるまでのつなぎとして、HA用の通信とIBE webmailの受け付け元を必要最小限に絞ってください。IBEは外部の受信者が使うため、絞りすぎると配送に影響が出ます。
背景
FortiMailは、Fortinetのメールセキュリティ製品です。組織のメールの通り道に置かれ、スパムやマルウェアの検査、送信ドメイン認証、暗号化配送を受け持ちます。IBE（Identity-Based Encryption）の機能では、暗号化したメールを外部の受信者が専用のwebmailで読み書きします。受信者のアカウントを奪われると、取引先とのやり取りが読まれたり、なりすましで送られたりするのが、今回のアカウント奪取系の怖いところです。
CVE-2026-126148は、FortiMail同士でHAクラスタを組むときの通信が入口で、Fortinetの製品セキュリティチームが社内で発見し、フロンティアAIモデルを使って報告したと勧告にあります。7件がほぼ同時に公表されたのは、IBE webmailとその周辺の認証・認可の作りに、まとまった見直しが入ったためとみられます。
よくある質問
Q.IBE webmailを使っていなければ、アカウント奪取の件は関係ありませんか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| FortinetFortiMail |
8.0.0 〜 8.0.1→ 記載なし 7.6.0 〜 7.6.6→ 記載なし |
記載なし 記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiMail 8.0.0 through 8.0.1, FortiMail 7.6.0 through 7.6.6 may allow an unauthenticated attacker to execute unauthorized code or commands via crafted HA join-request packets.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web fortiguard.fortinet.com
- web nvd.nist.gov
- web github.com