2026年10月1日に、CISAの既知の脆弱性カタログに追加されました。この脆弱性は、現在積極的に悪用されていることが確認されています。

製品/ベンダー：Fortinet FortiMail

Fortinet FortiMailには、パスのトラバーサル脆弱性と、NULLバイトまたはNULL文字の不適切な無効化脆弱性があり、これにより、認証されていない攻撃者が、巧妙に作成されたHTTPまたはHTTPSリクエストを介して、基盤となるシステムに任意のファイルを書き込む可能性があるとされています。

必要な対応：ベンダーの指示に従って、緩和策を適用し、CISAのBOD 26-04「リスクに基づいたセキュリティアップデートの優先順位付け」（注記のURLを参照）のガイダンスおよびCISAの「フォレンジック・トリアージ要件」（注記のURLを参照）への準拠を確保してください。クラウドサービスについては、該当するBOD 26-04のガイダンスに従うか、緩和策が利用できない場合は、製品の使用を中止してください。関係者は、各資産のインターネットへの露出度を評価し、BOD 26-04のパッチ適用ガイドラインを遵守する責任があります。

期限：2026年10月4日

既知のランサムウェアキャンペーンでの使用状況：不明