보안 업체 Fortinet의 이메일 보안 장비 FortiMail에서 공격자가 이미 악용하고 있는 제로데이(패치가 나오기 전에 발견된 취약점) CVE-2026-104286이 확인됐습니다. 인증 없이도 공격자가 조작된 요청만으로 시스템에 임의의 파일을 써넣을 수 있는 심각한 취약점으로, 위험도 점수(CVSS)가 10점 만점에 9.8점에 달합니다. 미국 CISA(사이버보안기반구조보안국)는 이 취약점을 실제 악용이 확인된 목록(KEV)에 등재하고 연방기관에 10월 4일까지 조치할 것을 요구했습니다. 정식 패치는 아직 나오지 않아, Fortinet은 임시 대응책(워크어라운드)을 적용하라고 권고하고 있습니다.
Fortinet의 이메일 보안 게이트웨이 FortiMail에서 실제 악용되고 있는 제로데이 취약점 CVE-2026-104286이 발견됐다.
인증되지 않은 공격자가 조작된 HTTP/HTTPS 요청으로 시스템에 임의 파일을 쓸 수 있어, FortiMail 8.0.0~8.0.1, 7.6.0~7.6.6, 7.4.0~7.4.8, 7.2.0~7.2.9 버전 사용자가 위험에 노출된다.
경로 탐색(Path Traversal, CWE-22)과 널 바이트 처리 오류(CWE-158) 취약점이 결합되어 발생했다.
정식 패치(8.0.2, 7.6.7, 7.4.9)는 아직 미출시 상태이며, Fortinet은 IBE(신원 기반 암호화) 기능 비활성화 또는 관리 인터페이스의 인터넷 접근 차단을 임시 대응책으로 권고했다.
패치 발표 전까지 관리 인터페이스를 신뢰된 사설망으로 제한하고, Fortinet이 공개한 침해지표(IP, 로그, 파일)로 FortiMail이 이미 공격받았는지 점검해야 한다.
본문
Fortinet은 자사의 이메일 보안 게이트웨이인 FortiMail의 제로데이 취약점(CVE-2026-104286)을 공격자들이 악용하고 있다고 고객들에게 경고했습니다.
Fortinet은 이 결함이 실제로 악용되고 있다는 보고가 있다고 밝히며, 패치가 제공될 때까지 자사가 공유한 임시 대응책(workaround)을 적용할 것을 고객들에게 촉구했습니다.
CVE-2026-104286에 대하여
"제한된 디렉토리에 대한 경로명의 부적절한 제한('경로 탐색', Path Traversal) [CWE-22] 및 널 바이트 또는 널 문자의 부적절한 중화 [CWE-158] 취약점으로 인해, 인증되지 않은 공격자가 조작된 HTTP 또는 HTTPS 요청을 통해 기반 시스템에 임의의 파일을 쓸 수 있습니다"라고 회사는 2026년 10월 1일 발표한 보안 권고문에서 밝혔습니다.
미국 사이버보안기반구조보안국(CISA)은 같은 날 CVE-2026-104286을 실제 악용 취약점(Known Exploited Vulnerabilities, KEV) 카탈로그에 추가했으며, 미국 연방 민간기관에 2026년 10월 4일까지 이를 해결하라고 지시했습니다.
CVSSv3 점수 9.8점인 이 취약점은 회사의 제품보안팀 소속 Gwendal Guégniaud가 내부적으로 발견했습니다.
이 결함은 FortiMail 8.0.0부터 8.0.1, 7.6.0부터 7.6.6, 7.4.0부터 7.4.8, 7.2.0부터 7.2.9 버전에 영향을 미칩니다.
Fortinet은 아직 출시되지 않은 8.0.2, 7.6.7, 7.4.9 버전에서 이를 수정할 예정이며, 7.2 사용자에게는 7.4 브랜치 이상으로 업그레이드할 것을 권고합니다.
패치가 제공되기 전까지 고객들은 다음 CLI 명령으로 FortiMail의 신원 기반 암호화(identity-based encryption, IBE) 기능 지원을 비활성화할 수 있습니다:
config system encryption ibe
set status disable
end
또는 관리자는 관리 인터페이스에 대한 인터넷 접근을 차단하거나 신뢰된 사설망으로만 제한할 수 있습니다.
Fortinet의 연구팀은 또한 관리자가 자사의 FortiMail 기기가 침해되었는지 확인할 수 있도록 공격과 관련된 파일, IP 주소, 로그 항목을 공유했습니다.
Fortinet은 공격이 언제 어디서 발견되었는지, 몇 대의 시스템이 침해되었는지, 또는 누가 배후에 있는지에 대한 세부 사항은 공개하지 않았습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
