Fortinet 于 2026 年 10 月 1 日发布安全公告 FG-IR-26-175，披露 FortiMail 邮件安全网关管理界面存在路径遍历与 NULL 字节中和不当的高危缺陷，编号 CVE-2026-104286，CVSS v3.1 评分 9.8，属严重级别。厂商确认该缺陷已在真实的零日攻击中被利用，美国 CISA 同日将其纳入已知被利用漏洞（KEV）目录，要求联邦机构在 10 月 4 日前完成处置。
事件概述
FortiMail 是 Fortinet 面向企业邮件安全的网关产品。此次问题位于其图形管理界面中支撑身份基加密（IBE）功能的组件：由于对路径遍历序列（CWE-22）与 NULL 字符（CWE-158）的过滤不充分，未认证的攻击者只需向设备的管理监听端口发送构造过的 HTTP 或 HTTPS 请求，即可在底层系统上写入任意文件，进而执行非授权代码或命令。Fortinet 表示该缺陷由内部发现，但同时确认收到真实环境利用的报告。
受影响版本覆盖四个分支：FortiMail 8.0.0 至 8.0.1、7.6.0 至 7.6.6、7.4.0 至 7.4.8，以及 7.2.0 至 7.2.9。厂商给出了修复版本 8.0.2、7.6.7 与 7.4.9，但截至公告发布这些版本尚未出齐。
技术细节
漏洞的触发面是 IBE 功能所暴露的 Web 端点。只要该界面能被不受信任的网络访问，攻击者便可通过路径穿越写入文件。Fortinet 在公告中同步公布了入侵指标，包括被替换或新增的可疑二进制与配置项，例如 /bin/smit、/data/bin/webconsole、/data/bin/mailservice、/data/lib/liblog.so，被篡改的 /data/etc/ld.so.preload 与 httpd.conf，以及若干样本的 SHA-256 哈希值。公告还列出两个 C2 地址 79.141.169.187 与 45.129.0.192。由于 ld.so.preload 属于动态链接器预加载机制，一旦被写入即可实现开机的持久化代码执行，这也是本次事件危害升级的关键。
影响评估
邮件安全网关处于企业网络边界，长期处理内外邮件流、认证凭据与附件内容。设备被攻陷后，攻击者可落盘持久化载荷、窃取邮件与账号信息，并以此为跳板向内网横向移动。零日加未认证的组合意味着修复窗口极短，而官方补丁尚未全部就绪，进一步放大了暴露面。评级为 9.8、且未经身份即可利用，任何将管理界面暴露在公网的 FortiMail 实例都应视为已被瞄准。
修复建议
官方修复：升级至 FortiMail 8.0.2、7.6.7 或 7.4.9（或对应分支的更高版本）；7.2 分支用户应迁移至 7.4 及以上分支。
临时缓解：禁用 IBE 功能，命令为 config system encryption ibe 后执行 set status disable；或将 FortiMail 管理界面限制为仅可信内网可达，不暴露于互联网。
自查与取证：核对每台设备的版本与 IBE 启用状态，按公告 IOC 比对磁盘与出向日志，重点检查 ld.so.preload、httpd.conf 是否被改动，以及是否存在与上述 C2 地址的通信。需要强调的是，仅打补丁不能清除已植入的后门，必须先确认未被入侵再执行升级。