最近の脆弱性 › CVE-2025-58034
Fortinet FortiWeb のOSコマンドインジェクションの脆弱性（CVE-2025-58034）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2025-58034 |
|---|---|
| 製品 | Fortinet FortiWeb |
| 深刻度（CVSS） | 7.2 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-11-18 |
| 米国政府機関の対応期限 | 2025-11-25 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78 |
何が起きた
Web アプリを守る機器 FortiWeb で、受け取った入力に含まれる特殊な文字をきちんと処理しないため、OS の命令を実行されてしまう弱点（OSコマンドインジェクション）が見つかりました。ログイン済みの攻撃者が、細工した HTTP の要求や CLI の命令で、機器の中でコードを実行できるおそれがあります。この弱点は実際の攻撃に使われたことが確認されており、Fortinet も悪用を確認しています。ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
FortiWeb を使っている組織です。Fortinet の案内では、8.0.0 から 8.0.1、7.6.0 から 7.6.5、7.4.0 から 7.4.10、7.2.0 から 7.2.11、7.0.0 から 7.0.11 が影響を受けます。FortiWeb 6.4 と FortiAppSec Cloud は影響を受けません。
何をすればいい
Fortinet の案内に従い、8.0.2、7.6.6、7.4.11、7.2.12、7.0.12 のいずれか以降に更新されているか確認してください。使っている系列ごとに更新先が違います。Fortinet の公式の案内を確認してください。
やることチェックリスト
- FortiWeb のバージョンと系列を確かめる
- 7.6 系は 7.6.6 以降に更新する
- 他の系列も案内の修正版以降に更新する
用語メモ
- OSコマンドインジェクション
- 入力の中に OS への命令を紛れ込ませて、機器やサーバーに実行させる攻撃です。
- CLI
- 文字で命令を打ち込んで機器を操作する画面のことです。
- FortiWeb
- Fortinet の製品で、Web アプリへの攻撃を防ぐための機器やソフトウェアです。
元データ（英語・CISA KEV より）
Fortinet FortiWeb OS Command Injection Vulnerability
概要
Fortinet FortiWeb contains an OS command Injection vulnerability that may allow an authenticated attacker to execute unauthorized code on the underlying system via crafted HTTP requests or CLI commands.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.