---
title: "Fortinet FortiMail の webmail に SQL インジェクション（CVE-2025-57739、FG-IR-26-184）"
url: https://n-t-p.io/worldsecurity/articles/fortinet-fortimail-webmail-sqli-fg-ir-26-184
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
updated: 2026年11月7日
severity: 高
cve: CVE-2025-57739
---

# Fortinet FortiMail の webmail に SQL インジェクション（CVE-2025-57739、FG-IR-26-184）

> **TL;DR:** Fortinet が 10/13 付で、FortiMail webmail の SQL インジェクション（CVE-2025-57739、CVSS 7.7）を公表。ログイン済みアカウントが前提。7.6.4・7.4.6・7.2.9 で修正。KEV 掲載なし、EPSS 0.31%。

**要点**
- FortiMail webmail の SQL インジェクション（CVE-2025-57739）。勧告の CVSS v3.1 は 7.7、NVD の基本値は 8.8
- 7.6.0〜7.6.3・7.4.0〜7.4.5・7.2.0〜7.2.8 が対象。7.6.4・7.4.6・7.2.9 以降へ更新。8.0 は対象外、FortiMail Cloud は修正済み
- 悪用にはログイン済みのアカウントが必要。回避策は勧告に記載なし
- KEV 掲載なし。EPSS は 0.31%（10/30）。実際の悪用の報告は見当たらない

Fortinet が 10 月 13 日付の勧告（FG-IR-26-184）で、FortiMail の webmail にある SQL インジェクション（CVE-2025-57739）を公表しています。ログイン済みのユーザーが、細工した HTTP リクエストで認可されていないコードやコマンドを実行できる可能性があります。修正版が出ています。CISA の KEV には載っていません。EPSS は 10 月 30 日時点で 0.31% です。

## 概要

| 項目 | 内容 |
|---|---|
| 種類 | SQL インジェクション（CWE-89） |
| 対象 | FortiMail の webmail |
| 前提 | ログイン済みの低い権限のアカウント。ネットワーク経由で、利用者の操作は不要 |
| 深刻度 | 勧告（CSAF）は CVSS v3.1 で 7.7（High）。NVD に載る Fortinet 提供の基本値は 8.8（High） |
| 影響（勧告の記載） | 権限昇格。NVD の説明は「認可されていないコードやコマンドの実行」 |

勧告の 7.7 は、攻撃コードが見つかっていないこと（E:U）や、公式の修正があること（RL:O）を反映した値です。基本値は 8.8 で、NVD の値と一致します。

## 影響を受ける版と対処

| 版 | 影響を受ける版 | 対処 |
|---|---|---|
| FortiMail 8.0 | 対象外 | 不要 |
| FortiMail 7.6 | 7.6.0〜7.6.3 | 7.6.4 以降へ |
| FortiMail 7.4 | 7.4.0〜7.4.5 | 7.4.6 以降へ |
| FortiMail 7.2 | 7.2.0〜7.2.8 | 7.2.9 以降へ |

FortiMail Cloud は、Fortinet が 2026 年第 1 四半期に修正済みで、利用者の作業は要りません。

## 対応の考え方

- 自社で運用している FortiMail（オンプレミス、仮想アプライアンス）は、上の修正版へ更新してください。回避策は勧告に書かれていません。
- webmail を使っていない場合でも、更新は必要です。使っていない場合に影響が避けられるかは、勧告からは分かりません。
- 悪用にはログインが必要です。webmail に入れるアカウントの棚卸し、不要なアカウントの停止、多要素認証の確認も有効です。
- webmail の画面を、必要のないネットワークに出さないでください。
- 勧告公開（10 月 13 日）以降の webmail のアクセスログに、見覚えのない長いパラメータやエラーがないかを確かめてください。

## 確認できていない点

- 勧告には、攻撃が実際に確認された記載はありません。KEV にも載っていません。NVD の評価は 10 月 31 日時点で「解析待ち」です。
- 具体的な脆弱箇所（どの機能のどのパラメータか）は、勧告に書かれていません。
- 勧告の影響欄は「権限昇格」、説明文は「コード・コマンドの実行」と書き分けられています。実際にどこまで可能かは、勧告からは判断できません。
- 別の FortiMail の脆弱性（CVE-2026-104286）は KEV に載っていますが、本件とは別の件です。


## 出典
- [Fortinet PSIRT FG-IR-26-184（CSAF）](https://filestore.fortinet.com/fortiguard/psirt/csaf_sql-command-injection-in-webmail_fg-ir-26-184.json) — Fortinet PSIRT
- [NVD CVE-2025-57739](https://nvd.nist.gov/vuln/detail/CVE-2025-57739) — NIST NVD
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2025-57739) — FIRST
- [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/fortinet-fortimail-webmail-sqli-fg-ir-26-184