最近の脆弱性 › CVE-2025-64446
Fortinet FortiWeb のパストラバーサルの脆弱性（CVE-2025-64446）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2025-64446 |
|---|---|
| 製品 | Fortinet FortiWeb |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-11-14 |
| 米国政府機関の対応期限 | 2025-11-21 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-23 |
何が起きた
Web アプリを守る機器 FortiWeb で、ファイルの場所の指定をうまく確認しない弱点（パストラバーサル）が見つかりました。攻撃者が細工した HTTP や HTTPS の要求を送ると、管理者用の命令を実行できるおそれがあります。この弱点は実際の攻撃に使われたことが確認されており、Fortinet も悪用を確認しています。ネットワーク経由で、ログイン不要の攻撃者が悪用できます。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
FortiWeb を使っている組織です。影響を受けるのは、8.0.0 から 8.0.1、7.6.0 から 7.6.4、7.4.0 から 7.4.9、7.2.0 から 7.2.11、7.0.0 から 7.0.11 です。FortiWeb 6.4 と FortiAppSec Cloud は影響を受けません。
何をすればいい
Fortinet の案内に従い、8.0.2、7.6.5、7.4.10、7.2.12、7.0.12 のいずれか以降に更新されているか確認してください。すぐに更新できない場合は、インターネットに面したインターフェースで HTTP と HTTPS を無効にするよう案内されています。更新後は、設定に予期しない変更がないか、許可していない管理者アカウントが追加されていないかを、設定とログで確かめてください。Fortinet の公式の案内も確認してください。
やることチェックリスト
- FortiWeb を案内の修正版以降に更新する
- 更新までは外向きの HTTP と HTTPS を無効にする
- 知らない管理者アカウントがないか確認する
用語メモ
- パストラバーサル
- ファイルの場所の指定を細工して、本来は届かない場所のファイルや機能に触れる攻撃です。
- インターフェース
- 機器がネットワークにつながるための接続口のことです。
- FortiWeb
- Fortinet の製品で、Web アプリへの攻撃を防ぐための機器やソフトウェアです。
元データ（英語・CISA KEV より）
Fortinet FortiWeb Path Traversal Vulnerability
概要
Fortinet FortiWeb contains a relative path traversal vulnerability that may allow an unauthenticated attacker to execute administrative commands on the system via crafted HTTP or HTTPS requests.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.