CISA将一个已知被利用的漏洞添加到目录中

CISA 新增 CVE-2026-104286 至 KEV 目录，Fortinet FortiMail 路径遍历漏洞已现活跃利用。

要点

联邦机构必须优先修补 KEV 目录中赋予完全控制权的漏洞。
该漏洞是恶意攻击者的常用入口，对联邦企业构成重大风险。
所有组织应采纳基于风险的漏洞管理，优先修复 KEV 目录条目。

行动提示

检查是否在内网或公网部署了受影响的 Fortinet FortiMail 设备。
立即应用厂商发布的安全补丁，并验证利用证据是否已消除。

展开抓取的正文（本地存档，已排版）

CISA 已根据确凿的主动利用证据，向已知被利用漏洞 (KEV) 目录新增了一个漏洞。

CVE-2026-104286 Fortinet FortiMail 路径遍历漏洞

此类漏洞是恶意网络攻击者常用的攻击途径，对联邦企业构成重大风险。

绑定运营指令 (BOD) 26-04：基于风险优先进行安全更新为联邦文职执行机构（FCEB）制定了漏洞管理要求。BOD 26-04 强调了 KEV 目录的重要性，并要求联邦机构优先快速修复高风险漏洞，特别是 CISA KEV 目录中列出的、在公开暴露资产上利用后能获得完全控制权的通用漏洞披露 (CVE) 编号；同时可推迟对低风险漏洞的处理。BOD 26-04 还进一步规定了机构必须在补丁应用前检查威胁行为者是否已入侵系统的基本期望要求。

虽然 BOD 26-04 仅适用于 FCEB 机构，但 CISA 鼓励所有组织采用基于风险的漏洞管理，并优先修复 KEV 目录中的漏洞。CISA 将继续将符合指定标准的漏洞添加到目录中。

如果您发现存在利用但尚未列入 KEV 目录的漏洞，请通过 CISA 的 KEV 提名表提交以供潜在添加。潜在的 KEV 新增条目必须具备 CVE ID、利用证据以及清晰的缓解指南。