Fortinet Multiple Products の認証回避の脆弱性（CVE-2026-24858）

何が起きた

Fortinet の FortiOS、FortiManager、FortiAnalyzer、FortiProxy などで、本来とは別の道筋から本人確認をすり抜けられる弱点が見つかりました。FortiCloud のアカウントと登録済みの機器を持つ攻撃者が、FortiCloud SSO でのログインが有効になっている、他のアカウントに登録された機器にログインできる可能性があります。NVD の評価では、ログイン不要の攻撃者が離れた場所から、被害者の操作なしに悪用できます。CISA の KEV に載っており、Fortinet も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FortiCloud SSO でのログインを有効にしている Fortinet 製品が対象です。影響を受けるのは、FortiOS 7.6.0 から 7.6.5、7.4.0 から 7.4.10、7.2.0 から 7.2.12、7.0.0 から 7.0.18、FortiManager と FortiAnalyzer の 7.6.0 から 7.6.5、7.4.0 から 7.4.9、7.2.0 から 7.2.11、7.0.0 から 7.0.15、FortiProxy 7.6.0 から 7.6.4、7.4.0 から 7.4.12、7.2.0 から 7.2.15、7.0.0 から 7.0.22、FortiWeb 8.0.0 から 8.0.3、7.6.0 から 7.6.6、7.4.0 から 7.4.11、FortiNAC-F 7.6.3 から 7.6.5、FortiSwitchManager 7.2.0 から 7.2.8、7.0.0 から 7.0.7 です。Fortinet によると、FortiCloud SSO は工場出荷時は無効ですが、管理画面から FortiCare に機器を登録すると、設定を切らない限り有効になります。

何をすればいい

Fortinet の案内に従い、修正版に更新してください。たとえば FortiOS は 7.6.6、7.4.11、7.2.13、7.0.19 以降、FortiManager と FortiAnalyzer は 7.6.6、7.4.10、7.2.12、7.0.16 以降、FortiProxy は 7.6.5、7.4.13、7.2.16、7.0.23 以降、FortiWeb は 8.0.4、7.6.7、7.4.12 以降、FortiNAC-F は 7.6.6 以降、FortiSwitchManager は 7.2.9、7.0.8 以降です。Fortinet は FortiCloud 側で古い版からの FortiCloud SSO ログインを受け付けないようにしたため、FortiCloud SSO を使い続けるにも更新が必要です。機器側で FortiCloud SSO のログインを無効にする方法も、公式の案内を確認してください。Fortinet は、攻撃者がログイン後に管理者アカウントを追加していたことから、すべての管理者アカウントに見覚えのないものがないか確かめるよう勧めています。

やることチェックリスト

• FortiOS を 7.6.6 や 7.4.11 などの修正版に更新する
• 管理者アカウントに見覚えのない追加がないか確認する
• 不要なら FortiCloud SSO のログインを無効にする

用語メモ

FortiCloud SSO

Fortinet のクラウドサービス FortiCloud のアカウントで、各機器の管理画面にまとめてログインできる仕組みです。

FortiOS

Fortinet のファイアウォール機器 FortiGate などで動く基本ソフトです。

KEV

米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。