最近の脆弱性 › CVE-2025-61624

Fortinet Multiple Products のパストラバーサルの脆弱性（CVE-2025-61624）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-61624
製品	Fortinet Multiple Products
深刻度（CVSS）	6.5 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H`
KEVへの追加日	2026-10-16
米国政府機関の対応期限	2026-10-19
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-22

何が起きた

Fortinetの複数の製品で、ファイルが保存されている場所の指定に不備がある弱点が見つかりました。この弱点は、実際に悪用されていることが確認されています。管理者プロファイルと読み書き権限を持つログイン済みの攻撃者が、コマンド画面（CLI）で特定のコマンドを使い、任意のファイルを書き込んだり削除したりできる可能性があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FortiOS、FortiPAM、FortiProxy、FortiSwitchManagerの特定のバージョンを使っている人が影響を受けます。影響を受けるバージョンは、FortiOS 7.6.0から7.6.4、7.4.0から7.4.9、7.2、7.0、6.4のすべてのバージョン、FortiPAM 1.7.0や1.6から1.0までのすべてのバージョンなどです。FortiProxyやFortiSwitchManagerの特定のバージョンも影響を受けます。

何をすればいい

修正版に更新してください。例えば FortiOS は 7.6.5 以上、または 7.4.10 以上です。FortiOS 7.2・7.0・6.4 のように修正版がない系列を使っている場合は、修正済みの系列へ移ってください。ほかの製品の修正版は、メーカーの公式の案内で確認してください。

やることチェックリスト

FortiOSを7.6.5以上か7.4.10以上に更新する
修正版のない古い系列は修正済みの系列へ移る
FortiPAM 1.7.0は1.7.1以上に更新する

用語メモ

管理者プロファイル: システムの設定や管理を行うための特別な権限がまとまったものです。
任意のファイル: 攻撃者が好きに選べるファイルのことです。

元データ（英語・CISA KEV より）

Fortinet Multiple Products Path Traversal Vulnerability

概要

FortiOS, FortiPAM, FortiProxy, and FortiSwitchManager contain a path traversal vulnerability that may allow an authenticated attacker with admin profile and at least read-write permissions to write or delete arbitrary files via specific CLI commands.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.