FortiMail 零日漏洞 CVE-2026-104286 遭在野利用：官方补丁未发布，邮件网关如何先缓解后修复-速维云

事件概述：邮件网关遭遇"无补丁可打"的零日攻击

2026 年 10 月 1 日，Fortinet 发布安全通告 FG-IR-26-175，确认其邮件安全网关产品 FortiMail 存在一个已被在野利用的关键漏洞，编号 CVE-2026-104286，CVSS 评分高达 9.8（Critical）。该漏洞属于路径穿越（CWE-22）与 NULL 字节处理不当（CWE-158）的组合缺陷：未认证的远程攻击者可以通过构造特殊的 HTTP/HTTPS 请求，将任意文件写入系统中的任意位置，并最终可能导致未授权代码或命令执行。

同日，美国网络安全与基础设施安全局（CISA）已将该漏洞加入其已知被利用漏洞目录（KEV Catalog），确认其正在真实攻击中被使用。更棘手的是，截至通告发布时，官方修复版本 8.0.2、7.6.7 和 7.4.9 仍标记为"即将发布"状态，尚未正式下发——这意味着受影响用户当前只能依靠临时缓解措施。

影响范围：多分支受影响，7.2 用户无点补丁可用

根据 Fortinet 官方通告，受影响版本覆盖多个当前仍在维护的分支：

FortiMail 8.0：8.0.0 至 8.0.1 受影响，修复版本为 8.0.2 或更高
FortiMail 7.6：7.6.0 至 7.6.6 受影响，修复版本为 7.6.7 或更高
FortiMail 7.4：7.4.0 至 7.4.8 受影响，修复版本为 7.4.9 或更高
FortiMail 7.2：7.2.0 至 7.2.9 受影响，官方未提供 7.2 分支的点补丁，需迁移至 7.4 或更高分支

需要特别注意的是，简单从 7.2 分支升级到 7.4 分支的任意版本并不足以解决问题——7.4.0 到 7.4.8 本身仍在受影响范围内。同时，漏洞的触发条件与 IBE（Identity-Based Encryption，基于身份的加密）功能相关：只要 IBE 服务开启且其 Web 页面可被访问，设备即处于风险中。

为什么普通用户和中小企业运维要关注

邮件网关是攻击者眼中的高价值目标：一次文件写入，就足以换来长期潜伏的立足点

通过定时任务（cron）以 root 权限执行 shell 命令，实现持久化
添加伪造的邮件归档账户，将企业邮件持续复制到攻击者控制的外部服务器
植入 liblog.so 等动态链接库劫持文件、修改 ld.so.preload 配置，实现系统级隐藏
窃取设备上存储的凭据，包括 LDAP/Active Directory 绑定账户、管理员凭据等，为进一步渗透内网铺路

对中小企业而言，即使不直接使用 FortiMail，这一事件也说明了两件事：一是边界安全设备本身正在成为攻击者的首选目标，设备"安全"不等于"安全设备安全"；二是"补丁未发布"的窗口期越来越长，被动等待厂商更新已不足以应对在野利用速度。

攻击前提与利用条件

根据公开分析，CVE-2026-104286 的利用门槛较低：

无需认证：攻击者不需要任何 FortiMail 管理员或用户凭据
无需用户交互：不依赖点击链接或打开附件
远程可利用：只要受影响的 IBE Web 页面能被互联网访问到

Fortinet 公布的攻击指标中包含两个 IP 地址（79.141.169.187 和 45.129.0.192），以及多个被植入或修改的文件路径，如 /data/lib/liblog.so、/data/bin/webconsole、/data/bin/mailservice、/data/etc/ld.so.preload 等。日志层面，可以关注包含 "Invalid Base64 Encoding at pos 0" 字样的 IBE 解密报错、异常的 archive 账户创建记录，以及来历不明的 root cron 任务。

排查思路：先确认是否已中招，再谈修复

由于该漏洞已被在野利用，且官方补丁尚未下发，建议受影响用户按以下顺序进行排查：

第一步，确认设备版本。登录 FortiMail 管理界面或 CLI，查看当前固件版本号，比对官方通告确定是否在受影响范围内，包括灾备或次要站点中长期未打补丁的设备。
第二步，检查 IBE 服务状态和暴露面。确认 IBE 功能是否开启，以及 Web 管理界面或 IBE 页面是否能从公网直接访问。
第三步，检索日志指标。在系统事件日志、管理员日志和加密日志中搜索 Fortinet 公布的 IOC 字符串，包括两个已知攻击 IP、异常的 archive 账户创建记录、以及以 root 身份执行的 cron 任务。
第四步，检查文件系统。比对 Fortinet 列出的被植入或修改的文件路径（如 /data/lib/liblog.so、/data/etc/ld.so.preload 等），确认设备上是否存在这些异常文件。
第五步，评估横向影响。若发现任何指标命中，需进一步检查邮件网关上存储的 LDAP/AD 绑定凭据是否泄露，以及下游邮件服务器和连接器是否被波及。

修复与缓解建议：先降风险，再等补丁

在官方修复版本正式发布并完成部署之前，Fortinet 提供了两项主要的临时缓解措施，建议尽快落地：

关闭 IBE 功能：通过 CLI 依次执行 config system encryption ibe、set status disable、end 即可关闭 IBE 服务。也可以在图形界面中进入 Encryption > IBE，将 IBE Service 设置为 off。需要注意，关闭 IBE 后，外部收件人将无法通过 Web 门户打开加密邮件，业务部门需提前沟通确认影响。
收敛管理界面暴露面：将 FortiMail 的管理界面或 Webmail 接口从公网中撤下，仅允许来自可信内网网段的访问。这一措施虽不能完全阻断针对 IBE 页面的攻击，但可以显著缩小攻击面。
配置 WAF 规则：若 FortiMail 前端部署了 Web 应用防火墙，可以配置规则拦截针对 /ibe 路径、且请求体中包含路径穿越序列（如 ../）的 POST 请求。

关于后续升级，需要注意以下几点：

关注 Fortinet 官方通告 FG-IR-26-175 的更新，确认 8.0.2、7.6.7 或 7.4.9 的实际发布时间，以官方公告为准，不要依赖非官方渠道的版本信息。
7.2 分支用户需要规划向 7.4 或更高分支的迁移，这一动作涉及较大范围的版本跨越，建议先在测试环境验证兼容性，并提前备份配置和数据。
升级固件前，务必按照 Fortinet 官方升级指引备份配置和存储数据；涉及重启邮件网关等生产服务的操作，需评估业务影响并选择合适的维护窗口。
升级固件不会自动清除攻击者已植入的后门或 cron 任务，因此即便完成升级，也应完成上述排查步骤，必要时考虑重建设备。

后续观察与总结

截至发稿，Fortinet 尚未披露攻击活动的具体归因、开始时间或受影响客户数量。CISA 将该漏洞纳入 KEV 目录，意味着美国联邦机构也面临修复时限压力，侧面说明该漏洞的现实威胁等级较高。

这起事件再次提醒我们：安全设备本身也是软件，也会有漏洞，而且往往是攻击者优先瞄准的目标。对企业而言，除了及时打补丁，更重要的是建立"设备资产清单 + 暴露面收敛 + 日志外发 SIEM"的基础能力，这样即便遇到"零日 + 无补丁"的极端情况，也能快速判断是否中招、影响范围多大，而不是在事后才发现邮件早已被复制走了。

后续建议持续关注 Fortinet 官方通告的更新动态，特别是修复版本正式发布的时间，以及是否有更多攻击指标或加固建议被补充进来。所有修复操作请以 Fortinet 官方公告为准。

文章版权归作者所有，未经允许请勿转载。

THE END