--- title: "FortiMail と Cisco Catalyst SD-WAN Manager、管理系の欠陥 2 件が KEV に追加（9/30・10/1）" url: https://n-t-p.io/worldsecurity/articles/kev-mail-sdwan-2cves lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年10月30日 updated: 2026年10月30日 severity: 緊急 cve: CVE-2026-76504, CVE-2026-104286 --- # FortiMail と Cisco Catalyst SD-WAN Manager、管理系の欠陥 2 件が KEV に追加（9/30・10/1） > **TL;DR:** 米 CISA は 2026-09-30 に Cisco Catalyst SD-WAN Manager（CVE-2026-76504）を、2026-10-01 に Fortinet FortiMail（CVE-2026-104286）を KEV に追加した。どちらもログインなしで攻撃できる。 **要点** - Cisco SD-WAN Manager と FortiMail の 2 件が KEV に追加（9/30 と 10/1） - どちらもログインなしで外から攻撃できるとされ、CVSS は最大 9.8（緊急） - ベンダーの修正版へ更新し、管理画面を公開しない Cisco のネットワーク管理ソフト Catalyst SD-WAN Manager と、Fortinet のメール防御装置 FortiMail の欠陥が、1 日違いで KEV に入りました。どちらも、ログインなしで外から攻撃できるとされています。 KEV とは、米国の CISA が「実際に悪用された」と確認した脆弱性の一覧です。 ## 何が問題か ### CVE-2026-76504: Cisco Catalyst SD-WAN Manager HTTP の要求に含まれる URL のエンコード処理に不備があり、ログインなしのリモートの攻撃者が、管理者権限で対象システムにアクセスできるおそれがあります。 分類（CWE）: CWE-177 ### CVE-2026-104286: Fortinet FortiMail（パストラバーサル） パストラバーサルと NULL 文字の扱いの不備を組み合わせた欠陥です。ログインなしの攻撃者が、細工した HTTP / HTTPS 要求で、装置の土台のシステムに任意のファイルを書き込めるおそれがあります。 分類（CWE）: CWE-22, CWE-158 ## 数値で見る | CVE | KEV 追加日 | 対応期限 | CVSS | EPSS | |---|---|---|---|---| | CVE-2026-76504 | 2026-09-30 | 2026-10-03 | 9.8（緊急・v3.1） | 38.9%（百分位 98.6） | | CVE-2026-104286 | 2026-10-01 | 2026-10-04 | 9.8（緊急・v3.1） | 4.6%（百分位 91.6） | ランサムウェア攻撃での悪用: KEV では「不明」です（「なかった」という意味ではありません）。 CVSS は深刻度を 0〜10 の点数にしたものです（NVD の掲載値）。EPSS は「今後 30 日以内に悪用が観測される確率」の推定で、2026-10-27 時点の値です（FIRST 調べ。日々変わります）。 KEV に載った脆弱性は「すでに悪用された」ものです。表の「対応期限」は米国の連邦機関に課される期限で、民間企業に義務はありませんが、優先度を決める目安になります。 ## 誰が気をつけるか Cisco Catalyst SD-WAN Manager または Fortinet FortiMail を運用している組織。 ## 今やること 1. 自社の資産一覧で、対象の製品とバージョンを使っているか確認します（委託先や別拠点の運用分も含めます）。 2. 対象なら、出典のベンダー情報に従って、修正版への更新または緩和策を行います。KEV が示す対応は「ベンダーの手順に従った緩和策の適用」です。 3. それぞれのベンダーの案内（出典のリンク）で、修正版を確認します。 4. 管理画面をインターネットから直接開けない状態にします。 5. CISA はこの欠陥について、フォレンジックトリアージ（被害の痕跡を調べる初動調査）を求めています。更新の前に、ログと設定のコピーを残し、侵入された形跡がないかを確認します。 6. 対応期限（2026-10-03・2026-10-04）はすでに過ぎています。未対応なら、今日のうちに着手してください。 ## 用語メモ - **KEV**: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。 - **認証回避**: ログインや本人確認をすり抜けて、機能を使えてしまう欠陥。 - **パストラバーサル**: 「../」などを使って、本来アクセスできないフォルダのファイルを読み書きする攻撃。 - **フォレンジックトリアージ**: 被害の痕跡があるかを素早く調べ、証拠を集める初動調査。 ## 出典 - CISA Known Exploited Vulnerabilities Catalog（JSON。版 2026.10.29 で再確認）（2026-10-30 確認） — https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json - CVE-2026-76504 のベンダー公式案内 — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-webauth-xr8beuuU - CVE-2026-104286 のベンダー公式案内 — https://fortiguard.fortinet.com/psirt/FG-IR-26-175 - NVD CVE-2026-76504（2026-10-28 確認） — https://nvd.nist.gov/vuln/detail/CVE-2026-76504 - NVD CVE-2026-104286（2026-10-28 確認） — https://nvd.nist.gov/vuln/detail/CVE-2026-104286 - FIRST EPSS API（2026-10-28 確認） — https://api.first.org/data/v1/epss ## 出典 - [CISA Known Exploited Vulnerabilities Catalog（JSON。版 2026.10.29 で再確認）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA - [CVE-2026-76504 のベンダー公式案内](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-webauth-xr8beuuU) — ベンダー - [CVE-2026-104286 のベンダー公式案内](https://fortiguard.fortinet.com/psirt/FG-IR-26-175) — ベンダー - [NVD CVE-2026-76504](https://nvd.nist.gov/vuln/detail/CVE-2026-76504) — NIST NVD - [NVD CVE-2026-104286](https://nvd.nist.gov/vuln/detail/CVE-2026-104286) — NIST NVD - [FIRST EPSS API](https://api.first.org/data/v1/epss) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/kev-mail-sdwan-2cves