概要
認証なしで、他人の IBE ウェブメールにログインされ、暗号化メールを読まれたり送られたりするおそれ。
元の説明（英語）を読む
A incorrect authorization vulnerability in Fortinet FortiMail 8.0.0 through 8.0.1, FortiMail 7.6.0 through 7.6.6, FortiMail 7.4.0 through 7.4.8, FortiMail 7.2 all versions may allow an unauthenticated remote attacker to obtain an authenticated IBE webmail session as any IBE recipient and read or send their encrypted mail via crafted HTTP requests.
影響を受ける人
IBE ウェブメールを使う FortiMail の管理者
対策
- FortiMail を 8.0.2 以降に更新する
- 7.6 系以前はベンダーの告知を確認する
国内の動き
- Security NEXT（報道）↗11/13
海外の動き
本文に同じ CVE 番号のある海外の注意喚起・報道は、まだ無い。
PoC
公開されている PoC は、まだ見つかっていない。
経過
2026年11月11日・一次情報
脆弱性が公開された
2026年11月13日・国内
Security NEXT が報道
影響する版
Fortinet FortiMail範囲は告知を確認