Fortinet FortiMail の webmail に SQL インジェクション（CVE-2025-57739、FG-IR-26-184）

Fortinet が 10 月 13 日付の勧告（FG-IR-26-184）で、FortiMail の webmail にある SQL インジェクション（CVE-2025-57739）を公表しています。ログイン済みのユーザーが、細工した HTTP リクエストで認可されていないコードやコマンドを実行できる可能性があります。修正版が出ています。CISA の KEV には載っていません。EPSS は 10 月 30 日時点で 0.31% です。

概要

項目	内容
種類	SQL インジェクション（CWE-89）
対象	FortiMail の webmail
前提	ログイン済みの低い権限のアカウント。ネットワーク経由で、利用者の操作は不要
深刻度	勧告（CSAF）は CVSS v3.1 で 7.7（High）。NVD に載る Fortinet 提供の基本値は 8.8（High）
影響（勧告の記載）	権限昇格。NVD の説明は「認可されていないコードやコマンドの実行」

勧告の 7.7 は、攻撃コードが見つかっていないこと（E:U）や、公式の修正があること（RL:O）を反映した値です。基本値は 8.8 で、NVD の値と一致します。

影響を受ける版と対処

版	影響を受ける版	対処
FortiMail 8.0	対象外	不要
FortiMail 7.6	7.6.0〜7.6.3	7.6.4 以降へ
FortiMail 7.4	7.4.0〜7.4.5	7.4.6 以降へ
FortiMail 7.2	7.2.0〜7.2.8	7.2.9 以降へ

FortiMail Cloud は、Fortinet が 2026 年第 1 四半期に修正済みで、利用者の作業は要りません。

対応の考え方

• 自社で運用している FortiMail（オンプレミス、仮想アプライアンス）は、上の修正版へ更新してください。回避策は勧告に書かれていません。
• webmail を使っていない場合でも、更新は必要です。使っていない場合に影響が避けられるかは、勧告からは分かりません。
• 悪用にはログインが必要です。webmail に入れるアカウントの棚卸し、不要なアカウントの停止、多要素認証の確認も有効です。
• webmail の画面を、必要のないネットワークに出さないでください。
• 勧告公開（10 月 13 日）以降の webmail のアクセスログに、見覚えのない長いパラメータやエラーがないかを確かめてください。

確認できていない点

• 勧告には、攻撃が実際に確認された記載はありません。KEV にも載っていません。NVD の評価は 10 月 31 日時点で「解析待ち」です。
• 具体的な脆弱箇所（どの機能のどのパラメータか）は、勧告に書かれていません。
• 勧告の影響欄は「権限昇格」、説明文は「コード・コマンドの実行」と書き分けられています。実際にどこまで可能かは、勧告からは判断できません。
• 別の FortiMail の脆弱性（CVE-2026-104286）は KEV に載っていますが、本件とは別の件です。