先說結論：維運 Fortinet FortiMail 的團隊應優先盤點 CVE-2026-104286，核對版本是否已達對應固定版。加拿大網安中心十月一日公告列出 FortiMail 8.0、7.6、7.4 和 7.2 支線處置，並表示原廠已看到實際利用；CISA 同日收錄 KEV。FortiMail 是郵件安全閘道，通常位於郵件進出企業的關鍵路徑。這項路徑遍歷弱點可能讓未登入者在底層系統寫入不應寫的檔案。本文十月四日重新查核兩個官方來源，提供版本核對與調查重點，不推論每個郵件設備已遭控制。
背景與前因：郵件安全設備常集中處理企業對外郵件，除了過濾規則，還可能保存隔離區、通訊紀錄或管理帳號。FortiMail 的部署可能是實體、虛擬或不同分支版本，不能只看品牌名稱判斷是否已更新。加拿大網安中心十月一日發布 AV26-989，依 Fortinet 原廠警示整理受影響產品與更新方向；CISA 同日將 CVE 收錄於已知遭利用清單。這篇補刊的事件日期和來源日期都是十月一日，撰文重新查核日期是十月四日，應分開標示。官方通報提供一般風險與優先級，不會替個別讀者完成設備鑑識。
原因與前置條件：公開漏洞描述把 CVE-2026-104286 歸為路徑遍歷：原本應受限制的檔案路徑被外來請求影響，使系統可能在預期範圍之外寫入檔案。加拿大警示指出 Fortinet 已見實際利用，CISA KEV 也記錄它是已知遭利用漏洞。從防守角度，應先辨別設備是否有對不可信網路開放的管理或相關服務、目前分支與修補狀態。文章不應把路徑遍歷直接等同某家企業資料已外洩，也不列出請求路徑、可寫位置或其他能複製攻擊的細節。
影響範圍：加拿大網安中心按分支列出 FortiMail 8.0 需升至 8.0.2 以上、7.6 需升至 7.6.7 以上、7.4 需升至 7.4.9 以上；7.2 支線的建議是遷移到 7.4 或更高支線，而不是等待同支線固定號。組織若有叢集、測試節點或備援設備，應逐台讀回版本。版本判斷要以完整分支與維護狀態為準，不能將 FortiGate、FortiWeb 或其他 Fortinet 產品的修補號套用在 FortiMail。雲端郵件服務或第三方掃描器也不是本篇所列產品的直接同義詞。
這個事件至少有兩個需要分開閱讀的官方時間點。Canadian Centre for Cyber Security 在 2026-10-01 公開與 CVE-2026-104286 相關的產品資訊；CISA 於 2026-10-01 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。加拿大警示記錄原廠已觀察到全球利用及分支修補方向，沒有證實任何特定讀者的郵件、帳號或設備已受入侵。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 Fortinet FortiMail 8.0、7.6、7.4 與 7.2 支線的受影響部署，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：先建立每台 FortiMail 的版本、角色、管理介面可達性、郵件流向與備援節點清單。依加拿大警示及原廠最新更新資訊安排升級；7.2 支線另制定遷移路徑，確認升級相容性與回復方案。更新前保存設定、郵件處理和網頁管理日誌，若有異常先保全證據；更新後逐節點回讀版本，測試正常郵件收發與隔離功能。暫時限制管理介面到可信網段能降低暴露，但不等同檔案寫入問題已修正。若發現意外檔案、設定或管理員活動，交由授權應變人員分析，不要先刪除現場資料。
盤點時可以把每一個FortiMail 節點寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排FortiMail 分支更新之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
這個事件的版本分支差異很重要：8.0、7.6、7.4 都有明列固定版，7.2 則是跨分支遷移建議。若把『低於某一號』套到所有支線，就可能錯估已完成的工作或讓無固定版環境繼續暴露。郵件閘道更新還涉及收發連續性，所以維運者應事先測試備援切換，卻不應以繁忙為由無限期延後。CISA KEV 提高優先級，但是否已有本地惡意檔案或郵件資料受影響，必須由保存的現場日誌和授權調查得出。
仍須由使用單位自行回答的問題是：目前有多少FortiMail 節點、哪些仍在受影響版本、FortiMail 分支更新是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。Canadian Centre for Cyber Security 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-104286，原廠事件日期為 2026-10-01，CISA KEV 收錄日為 2026-10-01，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 Fortinet FortiMail 8.0、7.6、7.4 與 7.2 支線的受影響部署 的實際部署範圍、按原廠指引完成FortiMail 分支更新、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- Fortinet security advisory AV26-989（Canadian Centre for Cyber Security）
- Known Exploited Vulnerabilities Catalog — CVE-2026-104286（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。