FortiMail 漏洞遭利用的警訊：先把設備版本與處置範圍查清楚

想像一個小場景：午餐群組正討論便當要不要加辣，突然有人貼了一則新聞，「公司用的郵件設備出現漏洞」。聊天畫面安靜兩秒，接著冒出最直接的問題：「那我們這台有沒有中？」有人回覆：「印象中是七點多版。」

七點多，聽起來比較像晚餐集合時間。面對版本範圍，這個答案還需要再精確一點：是 7.6、7.4，還是 7.2？最後一段數字又是多少？這時候先把慌張放旁邊，找到完整版號，比在群組裡連續貼五個驚嘆號更有幫助。

漏洞消息很容易讓討論直接跳到「要不要全部關掉」，但前面還有幾個問題值得照順序處理。究竟是哪個產品、哪台設備、哪個版本？目前採用什麼設定？由誰負責確認？把這些資訊補齊，才能把一則令人緊張的新聞，變成可以分工完成的工作。

依 iThome 2026 年 10 月 3 日報導，美國網路與基礎設施安全局 CISA 維護的已知遭利用漏洞清單，在 10 月 1 日新增 Fortinet 郵件安全閘道 FortiMail 的 CVE-2026-104286。[S1] 對使用這項產品的組織來說，接下來需要把警示轉成具體的設備查核。

這項查核可以分成三步：先確認完整版本，再查看功能與連線設定，最後決定處置方式。每一步都留下紀錄，後續公告更新時，就能快速回頭確認哪些設備需要調整。若同一設備有不同管理者，也先指定誰負責彙整結果，減少重複或遺漏。

完整版號是第一道篩選

報導列出的受影響 FortiMail 版本如下，兩端版號均包含在範圍內：[S1]

• 8.0.0 至 8.0.1
• 7.6.0 至 7.6.6
• 7.4.0 至 7.4.8
• 7.2.0 至 7.2.9

對照時要分支看，不要把四行接成一段連續範圍。例如 7.6.6 落在報導列出的 7.6 分支範圍內；只知道「7.6」，還無法完成判斷。版本核對也應搭配最新官方適用範圍，確認需要更新的分支與目標版本。

可以把這四行想成四棟大樓的指定樓層。甲棟要查看一、二樓，乙棟要查看一到七樓；不能看到「七」比較大，就把整條街所有七樓以下的房間都當成同一個範圍。版號的分支與最後一段數字，要放在一起讀。

這個比喻還能幫忙抓出一個常見誤會：最後一段數字不同，不代表可以脫離前面兩段直接比較。在報導列出的範圍中，7.6 分支的上限與 7.4 分支的上限就不同。[S1] 最省力的方式，是先找到同一分支那一行，再對照完整版本，別讓眼睛在四串數字之間自行玩連連看。

實務上，可以請維運人員記錄設備名稱、產品名稱、完整版本與查核時間。如果有多台設備或備援機，也應逐台確認，避免只看其中一台。資產清單若只寫採購時的版本，就值得重新核對；盤點要記下實際運行的狀態，才能用來安排後續變更。

小劇場：同一句「有中」，可能在問兩件事

假設群組接著出現這段對話：

「查到了，這台是 7.6.6，所以有中嗎？」

「它落在報導列出的受影響範圍內。」

「那就是已經被入侵了？」

「先分開看。版本符合條件，需要處理；是否遭到入侵，還要查相關紀錄。」

這裡最容易打結的，就是大家都用「有中」兩個字，卻各自指不同的事情。有人問版本是否命中範圍，有人問設備是不是已經受害。兩個問題如果混著聊，會讓原本想確認狀態的人越問越緊張，也可能讓負責人誤以為已經取得入侵證據。

可以試著把群組回覆寫得更具體一點：「已確認完整版本，落在報導範圍內；接下來由管理人員核對官方指引，另行查核是否有異常。」這是一段假想的回報示例。把已知狀態與下一步分開，大家比較容易知道誰該接手，也不必靠猜測解讀一句模糊的「處理中」。

版本命中後，接著查什麼

依報導描述，漏洞成因是特定路徑名稱對受限目錄的限制不當，可能讓未經身分驗證的攻擊者透過特製請求，在底層系統寫入任意檔案。[S1] 用比較直白的說法，就是系統原本應限制檔案能寫到哪裡，卻存在可越過限制的問題。

這也解釋了為什麼不能只回答「我們有設密碼」。報導所述的攻擊條件不要求先通過身分驗證。[S1] 管理人員還需要確認相關介面是否能從網際網路連入，以及設備目前的功能設定。版本、設定與連線方式放在一起，才能討論適用的處置方案。

版本落在範圍內，表示需要進一步處理；它本身不能證明設備已遭入侵。確認版本與調查異常應分別記錄：前者用來安排修補與緩解，後者需要依設備紀錄和適用指引查核。若發現異常，就交由資安人員進一步判讀，避免只做設定變更便結案。

工具冷知識：同一個產品，會有好幾條版本線

這則報導列出的受影響範圍，同時包含 8.0、7.6、7.4 與 7.2 四個分支。[S1] 容易忽略的地方是，光知道產品名稱，或聽到「已經是第八版」，都還沒有取得足夠精細的比對單位。完整版本才是這張清單要找的座標。

讀警示時，可以用螢光筆想像畫兩道線：第一道圈產品，第二道圈版本。產品要對得上，版號也要對得上。如果設備名稱只是辦公室自己取的代號，例如「郵件一號機」，就還需要對應到實際產品與版本，不能讓可愛的暱稱代替設備身分。

另一個容易被略過的小細節，是報導轉述的暫時建議提到 IBE 功能與管理介面的網際網路存取。[S1] 讀到這裡，問題已經從「裝的是哪個版本」，延伸成「目前怎麼使用、哪些入口開著」。這也解釋了為什麼盤點表最好留一欄設定查核狀態，讓版本確認與後續處置接得起來。

暫時緩解要連同服務影響一起評估

報導轉述 Fortinet 當時的建議：在修補版本釋出前，可先停用身分識別加密 IBE 功能，或關閉 FortiMail 管理介面的網際網路存取。[S1] 規劃處置時，應先核對最新官方指引及修補狀態，再決定暫時措施與更新安排。

準備採用措施前，先確認誰正在使用相關功能、哪些郵件流程可能受影響，以及維運人員之後要如何管理設備。停用 IBE 前，應評估合法使用者的操作是否會受影響；限制外部存取，也需要確認保留的管理路徑符合組織要求。

比較穩妥的順序是：由管理人員核對最新官方指引，評估服務影響，安排變更與回復方式，再驗證設定是否真的生效。負責人、變更時間與驗證結果也應一起記錄，讓下一班維運人員知道目前採用了什麼措施，以及接下來還要完成哪些工作。

如果用建築物做比喻，暫時限制某個入口，就像先調整出入動線；後續修補，則是另一項需要確認完成的工作。動線調整後，還要知道正常使用者從哪裡走、管理人員怎麼進出，以及什麼時候重新檢查。這個比喻是幫忙整理處置思路，實際做法仍由負責人依官方指引與現場需求決定。

最值得避免的收尾是「按鈕已經關掉，應該好了吧」。更完整的回報可以包含：變更是否完成、驗證結果如何、是否影響正常工作、接下來由誰追蹤更新。這些句子沒有很酷的專有名詞，卻能讓交接少掉很多猜謎環節。

常見誤會：幾句很順口的話，先多問一句

「密碼很複雜，應該不用擔心吧？」這個問題要回到攻擊條件。依報導描述，這項漏洞涉及未經身分驗證的攻擊者。[S1] 因此，確認密碼強度不能代替版本與設定查核。不同的保護措施在回答不同問題，別把其中一項打勾，就當成整張清單都完成了。

「郵件還能正常收，應該沒事？」服務能不能使用，與是否需要處理漏洞，要分別判斷。就像屋裡的燈還亮著，也不能只憑這件事決定哪個門鎖需要維修。處置後當然要確認正常郵件流程，但服務正常本身，不能取代該做的設備查核。

「清單只有四行，一台看完就可以代表全部？」如果組織有多台設備，就需要逐台核對。設備可能由不同人管理，也可能在不同時間做過變更；盤點時應以各台實際狀態為準。這裡不需要先假設哪台一定比較危險，只要別把一台的答案複製貼上到所有設備。

「有套暫時措施，就可以從待辦清單刪掉？」比較好的做法，是把狀態改成具體文字，例如「已完成暫時處置，待確認後續修補安排」。一個狀態欄多寫幾個字，隔週回來看的人就知道事情進展到哪裡，少一點「咦，這不是上次處理過了嗎」的對話。

週末小練習：只用紙筆，讀懂四行版號

想練習看版本範圍，可以直接做一份虛構清單，不需要登入設備，也不用掃描或調整任何設定。拿紙寫下四台假想機器：甲是 FortiMail 7.6.6，乙是 FortiMail 7.4.8，丙只記了 FortiMail 7.2，丁則只有「郵件備援機」這個名字。

第一輪只做資料比對。甲、乙可以對照報導列出的完整範圍；丙缺少最後一段版本，丁連產品與版號都還沒寫清楚。替丙與丁標上「待補資料」，比憑印象猜一個答案更能幫到後續工作。[S1]

第二輪加上三個欄位：「版本確認」「設定查核」「處置狀態」。練習把甲寫成「版本已確認，後兩欄待查」，不要因為第一欄有答案，就把整列塗成綠色。最後再加一欄負責人，填入虛構的甲組、乙組即可，讓每個待查項目都有下一步。

這個小練習的收穫很樸素：看懂一張版本表，也學會保留尚未完成的格子。遇到真正的警示時，把這份分類方式交給有權限的管理人員，就能把問題問得更清楚。紙上練習到這裡就好，正式環境的查核與變更，留給既有維運流程處理。

如果還想多玩一輪，可以幫這張虛構清單加上三張日期便利貼。第一張寫消息發布的日期，第二張寫設備版本確認的日期，第三張寫預定回來檢查進度的時間。三張分開貼，讀起來就比較不容易把「已經看到新聞」誤會成「設備已經完成處理」。

再假設過幾天有人接手，對方不在原本的群組裡，也沒看過前面二十則訊息。把清單交出去，問對方能不能在半分鐘內說出：哪些欄位已確認、哪些還在等資料、應該找誰。答得出來，代表這份紀錄真的有交接功能，沒有只對製作當下的人有意義。

最後做個小整理：把「大概」「應該」「記得是」這幾種詞圈起來，看看它們後面能不能補上一個查核動作。例如「記得是七點多版」，就改成「待管理人員確認完整版本」。不用急著把不確定的地方寫得很有把握，把下一步寫清楚，清單就已經往前進了一格。

什麼資訊出現後，需要重做判斷

接下來最有用的新資料，是官方確認的適用版本與修補版本、必要設定條件，以及能協助辨識異常的資訊。若修補已經提供，就應重新評估更新安排；若公告補充受影響條件，原本的設備清單也可能需要調整。

至於「處理完了嗎」，可以拆成幾個可核對的問題：所有設備都盤點了嗎？暫時措施是否生效？服務是否仍可正常使用？是否已有適用修補，並依官方方式驗證？每個問題都有紀錄，才比較不會把「已讀過警示」誤當成風險已經解除。

後記：讓群組少一點猜，多一點能接手的答案

回到開場的便當群組，最讓人安心的回覆，大概會是設備已經有人確認、處置有人負責，哪些項目仍在進行也寫得清楚。大家不必一邊猜版號，一邊猜那句「應該沒事」到底根據什麼。

資安資訊裡的數字看起來有點硬，拆成產品、版本、設定與處置幾個小問題後，就比較容易讀進去。遇到警示，先問出一個精確問題，再留下一個可以追蹤的答案。事情有人接得住，便當才吃得比較安心。

來源

• [S1] CISA警示FortiMail漏洞CVE-2026-104286已遭實際利用｜iThome｜發布：2026-10-03｜擷取：2026-10-04T00:01:46.436960+00:00