FortiMail 任意檔案寫入漏洞已被利用，須更新受影響分支

情報摘要

Fortinet 確認 CVE-2026-104286 已遭野外利用。未經驗證的攻擊者可藉 HTTP／HTTPS 請求利用路徑遍歷及 NULL byte 處理問題，在受影響 FortiMail 系統寫入檔案。

受影響產品

FortiMail 8.0.0–8.0.1、7.6.0–7.6.6、7.4.0–7.4.8、7.2.0–7.2.9

適用讀者

管理自架 FortiMail 電郵閘道的香港資訊科技及保安團隊

建議行動

更新至所用分支的 8.0.2、7.6.7、7.4.9 或其後修補版本；7.2 分支須遷移至已修補的 7.4 或更新分支。未能立即更新時，依官方指引停用 IBE 或限制 webmail 只供可信私人網絡存取。Fortinet 表示 FortiMail Cloud 已於 10 月 5 日修補，雲端客戶無需自行操作。

風險評級依據

Fortinet FG-IR-26-175 評為 Critical，CVSS v3.1 基本分數 9.8；官方標示 Known Exploited。

解讀限制

暫時緩解須按部署情況採用，不能取代版本更新。

香港受影響情況、首次利用日期及攻擊規模未獲證實。

資料來源

• Fortinet：FG-IR-26-175 FortiMail 安全公告 ↗來源刊登：2026-10-01