2026 年 10 月 1 日，Fortinet 发布了一份关于 FortiMail 漏洞的安全公告。FortiMail 是许多企业部署在邮箱前端、用于检查收发邮件的电子邮件安全网关。该漏洞编号为 CVE-2026-104286，评分为 9.8（满分 10），没有账户和密码的攻击者即可利用，Fortinet 表示该漏洞正在被在野利用。同一天，沙特阿拉伯国家网络安全局（NCA）发布了严重级别为“严重”的 2026-7895 号警报，美国网络安全和基础设施安全局（CISA）也将其加入已知被利用漏洞目录。

为什么这个漏洞首先关乎管理层，而不是 IT

上周我们写过思科分支网络管理器中一个遭利用的漏洞，以及谁来为公司中的托管系统打补丁的问题。这一次的不同之处首先关乎管理层而非 IT：在 Fortinet 公布的入侵指标中，有一行日志显示攻击者添加了一个以外部服务器为目的地的邮件归档账户。这里的风险并不止于设备本身，而是延伸到了公司的邮件。

Fortinet 公布了什么

  • 产品：FortiMail，Fortinet 的电子邮件安全网关。
  • 漏洞：一个路径遍历（path traversal）缺陷，加上对请求中 NULL 字节的处理不当，使得精心构造的 HTTP 或 HTTPS 请求可以向设备自身的系统写入文件。Fortinet 将其影响评定为执行未经授权的代码或命令。
  • 前提条件：无。未经身份验证的远程攻击者，CVSS 评分为 9.8（满分 10）。
  • 状态：据 Fortinet 称正在被在野利用，由其自身安全团队在内部发现。
  • 修复：公告发布时尚无可用更新，SecurityWeek 于 10 月 2 日报道称，修复将在后续版本中提供，但未给出发布日期。随后，Fortinet 的发行说明将 7.6.7 版本的日期标为 10 月 2 日，将 7.4.9 和 8.0.2 版本的日期标为 10 月 3 日；10 月 5 日，Fortinet 更新了公告中的解决方案部分。已修复版本见下表。
  • 本地警报：国家网络安全局 2026-7895 号警报，日期为 2026 年 10 月 1 日，严重级别为“严重”，建议更新受影响的产品。
  • 美国的期限：CISA 给美国联邦机构的期限是 10 月 4 日，即三天，并要求对该漏洞执行其取证分诊要求。这是该机构自 2026 年初以来加入目录的第八个 Fortinet 漏洞。

根据公告，受影响版本和已修复版本如下：

版本分支受影响版本修复
8.08.0.0 至 8.0.18.0.2 或更高版本
7.67.6.0 至 7.6.67.6.7 或更高版本
7.47.4.0 至 7.4.87.4.9 或更高版本
7.27.2.0 至 7.2.9迁移到 7.4 分支或更高版本

请注意最后一行：7.2 分支不会在本分支内获得修复。它需要迁移到另一个分支，这需要规划，但不能拖延。

为什么邮件网关如此重要

邮件网关位于互联网和员工邮箱之间，因此每一封收发的邮件都要经过它：报价单、供应商发票、合同、银行往来函件，以及变更银行信息的请求。正因如此，它对邮件拥有广泛的权限。它是负责检查、隔离、加密和归档邮件的系统。

该漏洞利用的路径属于 IBE 功能，即基于身份的加密。FortiMail 用它发送加密邮件，收件人通过网页门户打开。在许多部署中，该门户可以从互联网访问，以便公司外部的收件人使用。

您的团队应当寻找的痕迹：一个没人创建过的归档账户

在发布公告的同时，Fortinet 公布了入侵指标。其中包括两个 IP 地址 79.141.169.187 和 45.129.0.192，以及一行系统事件日志，显示添加了一个名为 archive234 的归档账户，其目的地是一台远程服务器：同一个地址 79.141.169.187，位于名为 /uploads 的目录中。同一行日志还显示，该变更是以用户名 admin 通过命令行完成的。

要理解这行日志的含义：FortiMail 的归档功能将归档邮件存储在归档账户中，每个账户都有一个目的地。目的地可以是本地的，即设备磁盘或网络存储服务器；也可以是远程的，即设备通过 FTP 或 SFTP 连接的服务器。哪些邮件会被归档由单独的归档策略决定。因此，一个指向攻击者服务器的归档账户，一旦关联了归档策略，就成为把邮件复制到公司外部的通道。公告并未说明在已发现的案例中是否确实有邮件被复制。

需要向您的 IT 团队或服务提供商提出的要求：

  • 检查设备上的每一个归档账户和归档策略，并追问任何公司内无人认得的远程目的地。
  • 在日志中搜索这两个已公布的地址，以及名为 archive234 的账户或任何创建者不明的近期归档账户。
  • 检查设备上的管理员账户，以及任何无人能解释的配置变更。
  • 在打补丁之前保存一份日志和配置的副本。设置通常在升级后仍会保留，因此此前添加的账户会一直存在，直到有人将其删除。补丁关上了门，但它不会告诉您谁曾从这扇门进来。

如果今晚无法打补丁

Fortinet 列出了一个包含三种选项的临时缓解措施：

  • 在图形界面中禁用 IBE 功能（Encryption，然后 IBE，然后关闭 IBE Service），或通过命令行禁用。
  • 或者阻止从互联网访问 FortiMail 网页邮件界面，或将其限制在受信任的私有网络内。
  • 或者，如果设备前端有 Web 应用防火墙，则拦截发往 /ibe 且包含 ../ 的 POST 请求。

禁用 IBE 会停止通过该功能进行的加密投递，因此如果某个部门依赖它，请与该部门商定临时替代方案。临时缓解措施缩小了能够接触到漏洞的范围。它不能取代升级，也不能免除检查此前发生了什么的必要。

真正的损失在数周后才落到财务部门

复制邮件本身并不是目的。阅读您与供应商往来邮件的人会了解到：谁发送发票、何时发送、采用什么格式，以及哪些采购订单正在等待付款。这正是发票转付欺诈所需要的材料：一封看似来自供应商、出现在真实对话中的邮件，要求将下一笔付款转到一个新的银行账户。

阻止这类欺诈并不需要技术，而是需要一条您的财务团队从今天起就要遵守的规则：

  • 无论邮件看起来多么真实，都绝不能仅凭一封邮件就更改供应商的银行账户。
  • 通过供应商档案中已有的号码进行电话核实，绝不使用邮件本身提供的号码。
  • 供应商银行信息的变更需要由录入人以外的第二个人审批，并由系统记录变更人和变更时间。
  • 付往新银行账户的第一笔款项要比其他款项审核得更仔细。

我们在关于定期供应商付款批次与对账单核对的文章中解释了如何将银行信息变更流程内置到系统中。

如果发现邮件已被复制

如果您的团队发现了陌生的归档账户或邮件被复制的证据，请将其视为数据泄露事件，而不是配置错误，因为邮件通常包含个人数据：客户的姓名、手机号码和地址。沙特数据和人工智能管理局（SDAIA）关于个人数据泄露事件的程序指南要求控制者在知悉可能损害数据或数据所属个人、或与其权利或利益相冲突的事件后 72 小时内通知主管机构，并在事件损害数据主体的数据或与其权利或利益相冲突时，不得无故拖延地通知受影响的数据主体。同时请告知往来邮件已被暴露的供应商和客户，因为他们可能会收到冒用您公司名义的欺诈邮件。

Origami 的观点

我们构建企业业务系统。我们不销售也不运营邮件设备。但我们构建的每一个系统都会发送邮件：发票、订单确认、账户对账单。在我们看来，复制公司邮件的能力应当受到与访问会计系统同等的审视，因为发票和银行信息变更请求在到达系统之前都要经过电子邮件。

对于沙特企业主，我们从两个方面解读这个漏洞。第一，安全设备本身已成为反复出现的攻击目标，因此您为保护邮件而购买的设备需要有人跟踪其警报，并像对待任何其他系统一样对其进行更新。第二，应对邮件被窃的最佳方案不只是技术层面的：财务部门的电话核实规则能够挫败基于被窃邮件的欺诈，即使入侵从未被发现。

要点

  • 如果您的公司使用 FortiMail，请今天就查明其版本，并升级到 8.0.2、7.6.7、7.4.9 或更高版本，同时将 7.2 分支迁移到 7.4 或更高版本。
  • 在升级之前：禁用 IBE，或阻止从互联网访问网页邮件界面。
  • 检查归档账户和归档策略，搜索这两个已公布的地址，并在打补丁之前保存日志。
  • 今天就告诉财务部门：未经通过已知号码的电话核实和第二审批人审批，不得变更供应商的银行账户。
  • 如果被复制的邮件包含个人数据，且泄露可能损害相关人员或与其权利或利益相冲突，则通知主管机构的期限是自知悉事件起 72 小时。

来源