FortiMail에서 발생한 CVE-2026-104286 취약점은 경로 순회(CWE-22)와 NULL 바이트 중화 실패(CWE-158)가 결합해 작동합니다. 인증되지 않은 공격자가 조작된 HTTP 또는 HTTPS 요청만으로 기반 시스템에 임의 파일을 기록할 수 있는 위험이 있습니다.
CVE-2026-104286 취약점 개요 및 메커니즘
이번에 식별된 CVE-2026-104286은 보안 설계상의 허점에서 비롯된 취약점으로, 경로 순회(Path Traversal)와 NULL 바이트 중화 실패(Improper Neutralization of NULL Byte)가 동시에 작용하는 형태입니다.
경로 순회(Path Traversal)는 공격자가 허용되지 않은 파일 경로에 접근하거나 파일을 조작할 수 있게 하는 약점입니다. 여기에 NULL 바이트 중화 실패(CWE-158)가 더해지면서 취약점이 성립합니다.
인증되지 않은 외부 공격자가 특수하게 조작된 HTTP 또는 HTTPS 요청을 전송하면, FortiMail이 구동되는 기반 시스템 안에 임의의 파일을 생성하거나 기존 파일을 덮어쓰는 기록 행위가 가능해집니다.
이 취약점은 이미 실제 공격에 악용된 사례가 공식적으로 보고됐고, CISA(미국 사이버보안 및 기간시설 보안국)의 KEV(Known Exploited Vulnerabilities) 목록에도 등재돼 있습니다. 긴급한 대응이 필요한 상황입니다.
영향을 받는 FortiMail 버전 범위
CVE-2026-104286의 영향권에 들어가는 버전은 7.2부터 최신 8.0까지 다수의 릴리스에 걸쳐 있습니다. IT 보안 담당자는 현재 운용 중인 FortiMail의 펌웨어 버전을 즉시 확인해 아래 표와 대조해 보시기 바랍니다.
| 제품군 | 영향을 받는 버전 범위 |
|---|---|
| FortiMail 8.0 시리즈 | 8.0.0 ~ 8.0.1 |
| FortiMail 7.6 시리즈 | 7.6.0 ~ 7.6.6 |
| FortiMail 7.4 시리즈 | 7.4.0 ~ 7.4.8 |
| FortiMail 7.2 시리즈 | 7.2.0 ~ 7.2.9 |
침해 여부 확인을 위한 파일 IOC 분석
이미 공격에 노출되었을 가능성이 있는 환경이라면 Fortinet의 권고문(FG-IR-26-175)에 명시된 침해 지표(IOC, Indicators of Compromise)로 시스템 변조 여부를 점검합니다.
공격자는 취약점을 이용해 시스템에 접근한 뒤, 지속성을 유지하거나 추가 공격을 이어가려고 특정 파일을 생성하거나 기존 바이너리를 변조합니다. 확인할 주요 파일과 해시 값은 다음과 같습니다.
- 신규 생성 파일 점검:
/data/lib/liblog.so파일이 시스템에 새로 생겼는지 확인하십시오.
- MD5:
64c90a00c7fda4d5c7973ed64c25783a - SHA256:
8015f34dc84922b03688399d7f9fe7a00361789f7e420c7e2a2cdb23e75cef84
- 기존 파일 변조 점검:
/bin/smit파일이 변조되었는지 확인하십시오.
- MD5:
5241738a3e9988404239e12243f6d35b - SHA256:
77324ac428bde86d351fc5fc06f6d64a6bfe737dfb2743df1d4c5ac2418a5b6a
위와 일치하는 파일이나 해시 값이 발견되면 공격자가 이미 해당 시스템을 침해했을 가능성이 매우 높습니다. 곧바로 사고 대응 절차(Incident Response)를 진행하십시오.
즉시 적용 가능한 완화 조치 및 영구 대응 방안
보안 패치를 당장 적용하기 어려운 환경이라면 다음과 같은 임시 완화 조치부터 적용해 추가 공격을 차단합니다.
1. 즉시 적용 완화 조치
가장 먼저 IBE(Identity-Based Encryption) 기능을 비활성화해 공격 경로를 끊습니다. 관리 인터페이스의 노출도 함께 최소화합니다.
- IBE 기능 비활성화 절차: CLI(Command Line Interface)에 접속해 아래 명령어를 차례로 실행합니다.
config system encryption ibe$\rightarrow$set status disable$\rightarrow$end - 접근 제어 강화: 관리 인터페이스가 외부 인터넷망에서 닿지 않도록 접근 제한 설정을 구성해, 외부 공격자의 요청이 애초에 들어오지 못하게 막습니다.
2. 영구 대응 방안: 버전 업그레이드
완화 조치는 어디까지나 임시 방편입니다. 취약점을 근본적으로 제거하려면 보안 패치가 적용된 버전으로 업그레이드하는 수밖에 없습니다. CNA(CVE Numbering Authority) 기준으로 다음과 같은 버전 이상으로의 업데이트가 권고됩니다.
- FortiMail 8.0 계열: 8.0.1 이상
- FortiMail 7.6 계열: 7.6.6 이상
- FortiMail 7.4 계열: 7.4.8 이상
운용 중인 환경의 호환성을 검토한 뒤 가능한 최신 보안 패치 버전으로 신속히 전환하십시오. 이 취약점은 실제 악용 사례가 확인된 만큼, 지체 없는 대응이 시스템의 안전을 보장하는 유일한 방법입니다.