FortiMailの重大な脆弱性。修正版と、更新中のメールの受け取り方を確認
会社のメール設備を更新する間、取引先からの注文や見積もりはどこで受け取れますか。メールを検査するFortiMail（フォーティメール）を自社や委託先で運用しているなら、稼働版を確認し、修正とあわせて更新中の受け取り方を決めてください。
メーカー公表 ／ 記事公開・一次資料確認 （日本時間） ／ 日本プロダクトマネージメント合同会社
機器・仮想マシン・FortiMail Cloudのどれを使っていますか
FortiMailは、会社のメールを受け渡す途中で迷惑メールや危険な添付を検査する製品です。メーカーの日本語資料では、機器の200Fを小規模の企業や支社、400Fを中小規模の組織向けに案内しています。機器でも、VM（ブイ・エム、仮想マシン）上で動かしていても、自社や委託先で更新を管理する場合は、保守担当が稼働版を照合します。
Fortinet自身が運用するFortiMail Cloudは、メーカーがこのページで扱う4件を2026年10月5日に修正済みと案内しています。この4件について利用者側の更新作業は不要です。契約名が分からないときは、メールの保守窓口に、FortiMail Cloudの契約か、機器・仮想マシンを誰が管理しているかを聞いてください。
稼働版の系列に合う修正先を確認する
対象の環境では、を経ずに装置上で不正な処理を実行されたり、保護メールの受信者へアクセスされたりするおそれがあります。（シー・ブイ・イー）は弱点の識別番号、（シー・ブイ・エス・エス）は深刻度の指標です。
- -2026-126147、CVE-2026-126148はメーカー評価でいずれも（クリティカル、重大）の9.8。後者はHA（エイチ・エー、複数台で運用を続ける仕組み）の通信に関する問題で、メーカーは後者について7.4・7.2系列を影響なしとしています。
- -2026-126156、CVE-2026-126157はいずれもの9.1。保護メールの受信者の乗っ取りや不正アクセスに関わります。
メーカーの11月10日付告知は、上の4件をいずれも既知の悪用なしとしています。
| 稼働系列 | 4件のいずれかの対象版 | メーカーの案内 |
|---|---|---|
| 8.0 | 8.0.0〜8.0.1 | 8.0.2以降 |
| 7.6 | 7.6.0〜7.6.6 | 7.6.7以降 |
| 7.4 | 7.4.0〜7.4.8 | 7.4.9以降 |
| 7.2 | 系列の全版 | 修正済み系列へ移行 |
| 7.0 | 系列の全版（-2026-126157の告知） | 修正済み系列へ移行 |
保守担当は型番、現在の版、運用方式を確認し、機器を動かすソフト（）の更新経路を公式資料で照合します。中間の版を経由する場合や、複数台の切り替え方法が変わる場合があります。すぐ更新できないときは、業務メールの配送を維持しながら、管理画面への接続を信頼できる経路に絞れるか確認します。
再開できるかは、届いたメールで確かめる
- 止まると時間を決める。 保守担当に、再起動や機器の切り替え中の送受信への影響、所要時間、工数を見積もってもらいます。更新中のメールを保留できる場所と、急ぐ注文の代替連絡先を先に決めます。
- 設定と配送待ちのメールを控える。 証明書を含む設定、配送待ちのメール、使っている隔離・保護メールのデータについて、何を保存し、どの版や機器へ戻せるかを確認します。見覚えのない設定変更があれば、初期化やに先立ち、操作記録と配送記録を保全するよう担当者に依頼します。
- 更新後にいつもの経路を通す。 稼働版と、許可された社内外の宛先での送受信を確認します。保留分の配送、普段使う隔離や保護メール、複数台の場合は同期と切り替えの状態も照合します。試験環境があれば先に試し、失敗時に復旧へ切り替える判断と担当者を決めておきます。
保守担当に、そのまま聞ける一文
当社のメールにFortiMailを使っていますか。契約名と運用者、機器名と稼働版を教えてください。更新が必要なら、修正版への経路、止まる時間と工数、保留メールと設定の復旧手順、更新後の送受信確認を教えてください。