• ひとことでFortiClient EMS の管理画面で SQL インジェクションを使われ、命令を実行される弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることFortiClient EMS を 7.4.5 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-21643
製品Fortinet FortiClient EMS
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2026-04-13
米国政府機関の対応期限2026-04-16
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-89（SQLインジェクション）

何が起きた

パソコンのセキュリティ対策ソフトをまとめて管理する Fortinet FortiClient EMS の管理画面に、SQL インジェクションという弱点が見つかり、実際に悪用が確認されています。細工した HTTP の通信を送ることで、許可されていないコードや命令を実行されるおそれがあります。NVD に登録された Fortinet の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が管理画面に細工した HTTP の通信を送る → 2. SQL インジェクションが起きる → 3. 許可されていない命令が実行される1攻撃者が管理画面に細工した HTTP の通信を送る2SQL インジェクションが起きる3許可されていない命令が実行される攻撃の流れ: 1. 攻撃者が管理画面に細工した HTTP の通信を送る → 2. SQL インジェクションが起きる → 3. 許可されていない命令が実行される1攻撃者が管理画面に細工した HTTP の通信を送る2SQL インジェクションが起きる3許可されていない命令が実行される攻撃の流れ: 1. 攻撃者が管理画面に細工した HTTP の通信を送る → 2. SQL インジェクションが起きる → 3. 許可されていない命令が実行される1攻撃者が管理画面に細工した HTTP の通信を送る2SQL インジェクションが起きる3許可されていない命令が実行される

誰が影響を受ける

FortiClient EMS 7.4.4 を使っている組織が影響を受けます。Fortinet によると、7.2 と 8.0 は影響を受けません。

何をすればいい

FortiClient EMS 7.4.4 を使っている場合は、7.4.5 以降に更新されているか確認してください。Fortinet の勧告 FG-IR-25-1142 で対策が案内されています。公式の案内を確認し、手順に従って対策してください。

やることチェックリスト

  • FortiClient EMS を 7.4.5 以降に更新する
  • FortiClient EMS のバージョンが 7.4.4 か確かめる
  • 更新後にバージョンが 7.4.5 以降か確かめる

用語メモ

SQL インジェクション 用語集で見る
データベースへの命令に、攻撃者が作った命令を紛れ込ませて実行させる攻撃です。
FortiClient EMS
多くのパソコンに入れた FortiClient を、まとめて管理するためのサーバーソフトです。
HTTP 用語集で見る
Web のページやデータをやり取りするときに使う通信のルールです。

次に読む

同じ製品・メーカーの脆弱性Fortinet FortiClient EMS（CVE-2026-35616）9.8 緊急CVSS v3.1FortiClient EMS で、ログインなしに外から命令を実行されるおそれがある弱点です。同じ製品・メーカーの脆弱性Fortinet FortiClient EMS（CVE-2023-48788）9.8 緊急CVSS v3.1Fortinet の FortiClient EMS で、データベースへの命令を悪用される弱点です。基本の解説SQLインジェクションとは入力した文字がデータベースへの命令として扱われる脆弱性

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Fortinet FortiClient EMS SQL Injection Vulnerability

概要

Fortinet FortiClient EMS contains a SQL injection vulnerability that may allow an unauthenticated attacker to execute unauthorized code or commands via specifically crafted HTTP requests.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る