Fortinet, 제로데이 공격에 악용되는 FortiMail 심각한 결함 경고

Fortinet은 고객들에게 CVE-2026-104286으로 추적되는 심각한 FortiMail 취약점을 경고하고 있으며, 이 취약점은 취약한 장비에서 승인되지 않은 코드나 명령을 실행하기 위해 제로데이 공격에서 실제로 악용되고 있다.

이 취약점은 심각(critical) 등급으로 분류되며 CVSS 점수는 9.8이고, FortiMail 관리 인터페이스에 영향을 미친다.

"제한된 디렉터리에 대한 경로명의 부적절한 제한(Path Traversal) [CWE-22] 및 NULL 바이트 또는 NULL 문자의 부적절한 중화 [CWE-158] 취약점으로 인해 인증되지 않은 공격자가 조작된 HTTP 또는 HTTPS 요청을 통해 기반 시스템에 임의의 파일을 쓸 수 있습니다." Fortinet은 목요일에 발표한 권고문에서 밝혔다.

Fortinet의 제품 보안팀 소속 Gwendal Guégniaud가 내부적으로 이 취약점을 발견했으며, 이는 FortiMail 8.0.0부터 8.0.1까지, FortiMail 7.6.0부터 7.6.6까지, FortiMail 7.4.0부터 7.4.8까지, 그리고 FortiMail 7.2.0부터 7.2.9까지의 버전에 영향을 미친다.

Fortinet은 이 결함이 실제로 악용되고 있다고 밝히며, 고객들에게 보안 업데이트를 설치할 수 있을 때까지 공유된 우회 방법(workaround)을 적용할 것을 촉구하고 있다.

FortiMail 7.2 사용자는 7.4 브랜치 이상으로 업그레이드하여 이 취약점을 패치할 수 있다. 영향을 받는 FortiMail 7.4, 7.6, 8.0 설치 환경의 경우 아직 보안 업데이트가 제공되지 않으며, Fortinet은 수정 사항을 포함할 예정인 다음 버전으로 FortiMail 7.4.9, 7.6.7, 8.0.2를 제시하고 있다.

패치된 버전이 제공되기 전까지, Fortinet은 관리자가 다음 명령을 사용하여 IBE 기능 지원을 비활성화함으로써 이 결함을 완화할 수 있다고 밝혔다.

config system encryption ibe
set status disable
end

대안적인 우회 방법으로, 관리자는 인터넷에서 FortiMail 관리 인터페이스로의 접근을 비활성화하거나 신뢰할 수 있는 사설 네트워크로 접근을 제한할 수 있다.

Fortinet은 또한 공격과 관련된 침해 지표(IOC)를 공개했으며, 여기에는 침해된 시스템에서 추가되거나 수정된 여러 파일이 포함된다.

파일 상태 SHA-256 /data/lib/liblog.so 추가됨 8015f34dc84922b03688399d7f9fe7a00361789f7e420c7e2a2cdb23e75cef84 /bin/smit 수정됨 77324ac428bde86d351fc5fc06f6d64a6bfe737dfb2743df1d4c5ac2418a5b6a /data/bin/webconsole 추가됨 7a6cea9f5c9e2e9994d4e3c4da73f86cf5acd05ea5d312c066c9d1dafd69ee38 /data/bin/mailservice 추가됨 4000276a150a165d3c2537d1e19fb393c4de8333076a16655e28059cae82157b /data/etc/httpd.conf 수정됨 703e97c64e61e41dc3aaba580d82bb2aa7b6a11b54ee6fb467ed5d5a3bffdef5 /data/etc/ld.so.preload 추가됨 8953ec7960b09f544a880b072ad4e6cfda7a8303f486251d3478dcfdfbac23b6 /data/migadmin.tar.gz 수정됨 d6fe51c22b91776f4c961ea58bcac5917f15d560a619d7ce726d3d51795609d3

Fortinet은 또한 79[.]141.169.187과 45[.]129.0.192를 공격과 관련된 IP 주소로 명시했다.

이 권고문에는 관리자가 침해 가능성이 있는 장비를 식별하는 데 사용할 수 있는 로그 항목도 포함되어 있다.

이 항목들 중 하나는 archive234라는 이름의 아카이브 계정이 명령줄에서 79.141.169.187을 원격 서버로, /uploads를 원격 디렉터리로 설정되는 것을 보여준다. 이는 공격자가 침해된 FortiMail 장비를 아카이브 데이터를 원격 서버로 전송하도록 설정했음을 나타낼 수 있다.

다른 로그 항목으로는 /migadmin과 관련된 명령을 실행하는 크론 작업, 관리자 로그아웃 이벤트, 잘못된 Base64 인코딩으로 인한 IBE 복호화 오류, 그리고 로그인 실패 시도가 포함된다.

Fortinet이 공유한 예시 로그 이벤트는 아래에 나열되어 있다.

type=event subtype=system pri=debug user=system ui=cron msg="(root) CMD (/bin/sh -c 'O=/migadmin ...
- type=kevent subtype=admin pri=information user=admin ui=(null) action=logout status=success reason=unknown msg="User admin logged out from (null)."
- type=kevent subtype=config pri=information user=admin ui=cli module=unknown submodule=unknown msg="Added 'archive234' to 'archive account' : rotation-size[50]rotation-time[1] rotation-hour[14]destination[remote]remote-ip[79.141.169.187]remote-username[archive234]remote-password[***]remote-directory[/uploads] (user: admin, from: cli)"
- FortiMail::IBE::DecrypterMediaIn::DecrypterMediaIn(FortiMail::MediaIn&, const FortiMail::IBE::KeyFinder&, const FortiMail::EmailAddress&, const FortiMail::Buffer&, FortiMail::IBE::DecrypterMediaIn::Version): Caught BufferException(2), BufferImpl.cpp:973, 'Invalid Base64 Encoding at pos 0. Character=0x2a'
- Internal user *@domain.tld<mailto:*@domain.tld> failed to log in.

Fortinet은 이 결함이 처음 악용된 시점, 침해된 시스템의 수, 또는 공격 주체가 누구인지에 대해서는 공개하지 않았다.

BleepingComputer가 악용 활동에 대한 추가 정보를 요청했을 때, Fortinet은 고객들에게 권고문을 참고하라고 안내했으며 CISA를 포함한 정부 기관과 협력하고 있다고 밝혔다.

"Fortinet은 CVE-2026-104286(FG-IR-26-175)에 대한 지침을 제공하기 위해 권고문을 발표했으며, 고객이 위험을 완화하는 데 도움이 되는 우회 방법을 포함하고 있습니다." Fortinet이 BleepingComputer에 밝혔다.

"책임 있는 PSIRT 공개 및 공공-민간 협력에 대한 Fortinet의 약속에 따라, 우리는 이 권고문의 내용에 관해 CISA를 포함한 관련 정부 기관과 소통하고 있습니다."

CISA는 현재 CVE-2026-104286 결함을 알려진 악용 취약점(Known Exploited Vulnerability) 카탈로그에 추가했으며, 연방 기관들에게 10월 4일까지 포렌식 조사를 수행하고 이 결함을 완화할 것을 요구하고 있다.