Fortinet FortiWeb のSQLインジェクションの脆弱性（CVE-2025-25257）

何が起きた

Web アプリケーションを守る機器の Fortinet FortiWeb で、管理画面（GUI）に SQL インジェクションの弱点が見つかり、実際の悪用が確認されています。細工した HTTP や HTTPS の要求を送ることで、許可されていない SQL の命令を実行される可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が、利用者の操作なしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FortiWeb の 7.6.0 から 7.6.3、7.4.0 から 7.4.7、7.2.0 から 7.2.10、7.0.0 から 7.0.10 を使っている組織が対象です。Fortinet によると、FortiWeb 6.4 は影響を受けません。

何をすればいい

Fortinet の公式の案内を確認し、7.6 系は 7.6.4 以降、7.4 系は 7.4.8 以降、7.2 系は 7.2.11 以降、7.0 系は 7.0.11 以降に更新します。すぐに更新できない場合の回避策として、Fortinet は HTTP/HTTPS の管理画面を無効にするよう案内しています。

やることチェックリスト

• 使っている FortiWeb の版を確認する
• FortiWeb を系列ごとの修正版以降に更新する
• 更新までは HTTP/HTTPS の管理画面を無効にする

用語メモ

SQL インジェクション 用語集で見る

データベースへの命令文に、攻撃者が細工した文字を紛れ込ませて、想定外の命令を実行させる攻撃のことです。

GUI

ボタンや画面を使って操作するための画面のことです。