加拿大網路安全中心於2026年10月1日發布警報，指出Fortinet FortiMail郵件安全設備存在已遭實際利用的漏洞。美國網路安全暨基礎設施安全局（CISA）亦將其列入已知遭利用漏洞（KEV）清單，使用單位應優先盤點版本與對外暴露情況。

 

【事件經過】

CVE-2026-104286屬於路徑遍歷漏洞。依Fortinet提交的漏洞說明，未經驗證的攻擊者可透過特製HTTP或HTTPS請求，繞過路徑限制，在設備底層系統寫入任意檔案。

任意檔案寫入可能影響系統完整性，並成為後續入侵的條件，但不等於所有受影響設備都能直接遭遠端程式碼執行。Fortinet確認已出現實際利用，CISA於10月1日將其納入KEV。

 

【影響範圍】

加拿大公告列出的FortiMail受影響版本為8.0分支低於8.0.2、7.6分支低於7.6.7，以及7.4分支低於7.4.9。7.2分支應遷移至7.4或以上已修補版本，不能只更換分支。

漏洞編號為CVE-2026-104286。原文未提供CVSS分數；NVD列出Fortinet評定的CVSS v3.1分數為9.8。其他產品版本資料另列7.0分支，須依Fortinet最新公告確認。

 

【建議措施】

先確認FortiMail韌體版本、部署方式，以及Webmail與管理介面的對外存取狀況。依廠商安全公告，8.0、7.6與7.4分支應分別更新至8.0.2、7.6.7、7.4.9或後續已修補版本。

無法立即更新時，可依原廠建議停用身分式加密（IBE）功能，或限制Webmail只能由可信任網路存取，並評估對既有郵件服務的影響。

更新後應驗證郵件收發、政策及日誌功能，並依原廠入侵指標檢查異常請求、帳號與檔案。若發現入侵跡象，須啟動事件調查，不能只靠升級判定已排除威脅。

 

【國內機關與企業之影響與因應】

原文未提供台灣受害案例。國內政府機關、金融業及企業如使用FortiMail，可依受影響版本、網路暴露程度與異常紀錄判定處理優先順序。

建議保存設備版本、權限管理、修補及調查結果，將郵件安全設備納入持續弱點管理，避免防護設備本身成為入侵入口。

【新聞出處】

原文標題：Fortinet security advisory (AV26-989)

媒體名稱：Canadian Centre for Cyber Security（加拿大網路安全中心）

發布日期：2026年10月1日

原文網址：https://www.cyber.gc.ca/en/alerts-advisories/fortinet-security-advisory-av26-989

官方補充資料：Fortinet PSIRT FG-IR-26-175

官方網址：https://fortiguard.fortinet.com/psirt/FG-IR-26-175

漏洞資料：NIST National Vulnerability Database（NVD）

資料網址：https://nvd.nist.gov/vuln/detail/CVE-2026-104286