白話重點
- 誰要處理：公司防火牆是 FortiGate（Fortinet 的防火牆，作業系統叫 FortiOS），或有用 FortiMail（郵件閘道）、FortiSandbox（可疑檔案檢測）的。不確定就問裝設備的廠商。
- 多急：2026 年 7 月 16 日到 10 月 16 日，有 6 個 Fortinet 漏洞被美國 CISA 列入已遭實際攻擊的清單，其中 3 個在 FortiGate 上。防火牆是公司對外的門，我們建議當成最優先處理。FortiOS 要更新到 7.6.5 或 7.4.10 以上。
- 今天做一件事：問負責防火牆的廠商或 IT「我們的 FortiGate 是 FortiOS 哪一版？型號能不能升到 7.4 或 7.6？有沒有 FortiMail？什麼時候升級？」
- 還在用 FortiOS 7.2、7.0、6.4：舊的版本線沒有能一次修好的版本，要升到新一代；請廠商評估要不要停機、型號支不支援。
- 給老闆的一句話：公司防火牆 FortiGate 有已遭攻擊的漏洞，已請廠商升級到 FortiOS 7.4.10／7.6.5 以上，完成日期 ＿＿。
技術摘要（給 IT 人員）
| 產品 | 編號與原廠公告 | CVSSv3 | 條件 | CISA 列入 |
|---|---|---|---|---|
| FortiOS、FortiSwitchManager | CVE-2025-25249（FG-IR-25-084） | 8.1 | 未登入（cw_acd 服務） | 9 月 9 日 |
| FortiOS | CVE-2025-68686（FG-IR-25-934） | 5.9 | 要先被其他漏洞入侵；曾開 SSL-VPN | 7 月 27 日 |
| FortiOS、FortiPAM、FortiProxy、FortiSwitchManager | CVE-2025-61624（FG-IR-26-122） | 6.0 | 要有高權限管理帳號進命令列 | 10 月 16 日 |
| FortiMail | CVE-2026-104286（FG-IR-26-175） | 9.8 | 未登入 | 10 月 1 日 |
| FortiSandbox | CVE-2026-25089（FG-IR-26-141）、CVE-2026-39808（FG-IR-26-100） | 9.8 | 未登入 | 7 月 16 日 |
遭利用狀態截至 2026 年 10 月 27 日；原廠頁面標示已遭利用的是 FG-IR-26-122 與 FG-IR-26-175，其餘以 CISA 清單為準。
FortiGate 的 FortiOS 要更新到哪一版？
把三份公告的修補版本合起來，每條版本線要到下表才能一次修好三個漏洞：
| FortiOS 版本線 | 要更新到 |
|---|---|
| 7.6 | 7.6.5 以上 |
| 7.4 | 7.4.10 以上 |
| 7.2、7.0 | 7.2.12、7.0.18 只修好 CVE-2025-25249；另外兩個整條版本線沒有修補，要升到 7.4.10 或 7.6.5 以上 |
| 6.4 | 三個都沒有修補，要升到 7.4.10 或 7.6.5 以上 |
跨版本升級要照原廠的升級路徑工具一步一步升，不要直接跳版。升級前的暫時做法：
- CVE-2025-25249：拿掉各介面的 fabric 存取；或在開了 fabric 的介面用 local-in policy，只允許信任的設備連 5246 到 5249 埠、其餘擋掉（原廠公告列的做法）
- CVE-2025-61624：要有高權限管理帳號才能利用，我們建議清查管理帳號、移除不用的、換掉共用密碼
FortiMail、FortiSandbox 要怎麼處理？
FortiMail：更新到 8.0.2、7.6.7、7.4.9 以上；7.2 要升到 7.4 以上的版本線（7.4 線須 7.4.9 以上）（原廠公告）。還不能更新時，原廠的暫時做法是關閉 IBE 加密功能，或不讓網際網路連到 webmail 介面。FortiMail Cloud 原廠已在 10 月 5 日更新完畢，Cloud 客戶不需動作。
FortiSandbox：4.4 線更新到 4.4.9 以上，5.0 線更新到 5.0.6 以上。
除了 Fortinet 漏洞，近半年其他已遭攻擊的漏洞，按日期整理在資安事件時間軸。
更新紀錄
- 2026 年 10 月 27 日：首次發布
我們怎麼做？
防火牆是廠商裝的、不知道版本或沒人在顧，可以寫信給我們，我們先免費幫你判讀要升到哪一版、該找誰處理。需要盤點公司對外設備與修補排序，見企業雲端建置與資安防護（服務全台）；遠端連線要不要繼續用 VPN，見〈VPN 與零信任怎麼選〉。
常見問題
FortiGate 型號太舊、升不到 7.4 怎麼辦？
先請廠商確認型號支援哪幾版 FortiOS。型號升不到 7.4.10 或 7.6.5，這三個漏洞就沒有辦法一次修好，我們建議評估換機；換機前至少照本文的暫時做法處理，並把管理介面限縮到公司內部。
怎麼看 FortiGate 現在是哪一版？
管理介面首頁（Dashboard）的系統資訊會列出韌體版本；用命令列的人可以下 get system status。版本號的前兩碼（例如 7.2）就是本文說的版本線。
沒開 SSL-VPN，也受影響嗎？
CVE-2025-68686 這一個，原廠說從沒開過 SSL-VPN 的設備不受影響。另外兩個跟 SSL-VPN 無關，所以還是要升級。
FortiMail 怎麼看有沒有被入侵？
原廠列出的入侵跡象之一，是系統日誌出現新增歸檔帳號（archive account，範例名稱 archive234）、目的地設為遠端 IP 的紀錄。請負責的人比對原廠公告 FG-IR-26-175 列的 IP 與日誌內容；對得上就當作已被入侵處理。
