概要
認証なしで、IBE ウェブメール利用者のパスワードを再設定され、アカウントを乗っ取られるおそれ。
元の説明（英語）を読む
A weak password recovery mechanism for forgotten password vulnerability in Fortinet FortiMail 8.0.0, FortiMail 7.6.0 through 7.6.5, FortiMail 7.4.0 through 7.4.7, FortiMail 7.2.0 through 7.2.9 may allow an unauthenticated attacker to reset the password of an arbitrary IBE webmail user and take over their account via specially crafted HTTP requests.
影響を受ける人
IBE ウェブメールを使う FortiMail の管理者
対策
- FortiMail を 8.0.1・7.6.6・7.4.8・7.2.10 のうち使用中の系統の版以降に更新する
国内の動き
- Security NEXT（報道）↗11/13
海外の動き
本文に同じ CVE 番号のある海外の注意喚起・報道は、まだ無い。
PoC
公開されている PoC は、まだ見つかっていない。
経過
2026年11月11日・一次情報
脆弱性が公開された
2026年11月13日・国内
Security NEXT が報道
影響する版
Fortinet FortiMail範囲は告知を確認