Fortinetが46件公開、FortiOSなど緊急8件

やること

Fortinet は11月10日付けで、46件のセキュリティアドバイザリをまとめて公開しました。一覧で深刻度が Critical（緊急）と表示されているものは8件あります。ファイアウォールの FortiGate を動かす FortiOS も対象に入っているので、FortiGate を置いている会社は版を調べてください。

この記事で開いて確かめた FortiOS のアドバイザリは8件で、次の版まで上げるとすべて直ります。

• 8.0系は 8.0.2 以降です
• 7.6系は 7.6.8 以降です
• 7.4系は 7.4.13 以降です
• 7.2系は 7.2.14 以降です

FortiOS は今の版から目的の版へ一度に上げられないことがあります。Fortinet は公式のアップグレードツール（docs.fortinet.com/upgrade-tool）で勧められる順に上げるよう案内しています。更新の作業では通信が止まる時間が出るので、保守会社と日取りを決め、先に設定のバックアップを取ってください。

回避策が載っているアドバイザリは一部だけなので、更新が基本の対処です。

FortiOS で直った主な欠陥

Critical の3件は、どれも使っている機能で影響が決まります。

• CVE-2026-126254（CVSS 9.6）は、経路を交換する BGP の処理の欠陥です。設定済みの iBGP の相手が細工した情報を送ると、つながっているすべてのルーターへそれが伝わるおそれがあります。影響の種類はサービス停止です
• CVE-2026-126253（CVSS 9.3）は、同じく経路を交換する OSPF の処理の認証回避です。認証されていない攻撃者が、経路の情報（LSA）を流せるおそれがあります
• CVE-2026-126259（CVSS 9.0）は、機器を2台以上で組む HA の欠陥です。FGSP と standalone-config-sync を組み合わせた構成か、autoscale の構成で、認証なしに最上位の管理者としてコマンドを実行されるおそれがあります。この1件は 8.0.1 で直っています

BGP、OSPF、HA は、拠点が多い会社やデータセンターで使う機能です。1台の FortiGate をインターネットの出口に置いているだけなら、多くの場合は使っていません。使っているかどうかは保守会社に聞いてください。

小さな会社にも関係しやすいのは SSL-VPN の CVE-2026-121528（CVSS 7.7）です。ウェブポータルと、その先の社内サイトとの通信に、認証されていない攻撃者が割り込めるおそれがあります。対象は 7.6.0〜7.6.4、7.4.0〜7.4.9、7.2.0〜7.2.13 で、8.0系は影響を受けません。

修正版には config vpn ssl setting の remote-https-cert-check という設定が加わりました。既定は warn-on-error（証明書に問題があると警告を出す）です。reject-on-error にすると、証明書の検査で問題があったときに拒否の画面が出て、利用者は接続を閉じるしかなくなります。社内サイトが自己署名の証明書を使っていると開けなくなるので、切り替える前に保守会社と相談してください。

もう1件の CVE-2026-126255（CVSS 7.4）は、SSH の認証を回避されるおそれがある欠陥です。影響を受けるのは OS Login を有効にしている場合だけだと、アドバイザリに書かれています。

管理用の製品は緊急5件

残りの Critical 5件は多数の FortiGate をまとめて管理する FortiManager と、ログを集める FortiAnalyzer のものです。

いちばん値が高い CVE-2026-126170（CVSS 9.8）は、認証なしでコードやコマンドを実行されるおそれがある欠陥です。JSON API を有効にしている場合だけ影響を受け、既定では無効です。7.6系は 7.6.8 で直り、8.0系の修正版 8.0.3 はこれから出ます。それまでは管理者プロファイルで set rpc-permit none を設定して JSON API を止める回避策があります。

決まったポートに届く攻撃者に狙われるおそれがあるものは3件です。CVE-2026-126261（CVSS 9.0）は FortiManager の欠陥で、機器との通信に使う FGFM のポートに届く攻撃者が、認証なしでコードやコマンドを実行できるおそれがあります。CVE-2026-126262（CVSS 9.3）と CVE-2026-126260（CVSS 9.0）は、ログを受け取る OFTP のポートが入口になります。残る CVE-2026-126229（CVSS 9.1）は、認証済みの管理者が割り当てられていない領域へ入れるおそれがある欠陥です。

7.6系は 7.6.8、7.4系は 7.4.12 が主な修正版です。7.2系はアドバイザリによって、7.2.13 へ上げるものと、修正版のある系へ移るものがあります。

これらの製品を自社で持つ中小企業は多くありません。ただ、保守会社が FortiManager で顧客の機器をまとめて管理していることはあります。その場合は、保守会社の側の更新が自社の安全に関わります。

悪用の状況

開いて確かめた25件のアドバイザリは、どれも悪用の確認（Known Exploited）が No でした。CISA の悪用済み脆弱性の一覧（KEV）にも、11月10日の更新の時点で今回の CVE は載っていません。

25件のうち24件は Fortinet の社内の調査で見つかったものです。攻撃で見つかった欠陥ではありませんが、修正版が出ると、修正の中身から攻撃の方法を調べられることがあります。

中小企業が学べること

46件を1件ずつ読む必要はありません。確かめるのは、自社の機器の版が修正版より古いかどうかと、SSL-VPN、HA、BGP などの機能を使っているかどうかの2つです。機能の一覧は機器を入れたときの設計書か、保守会社に出してもらう設定の控えで分かります。

保守の契約に、ファームウェアの更新が入っているかも見てください。入っていなければ、今回のような更新を誰が何日以内に行うかを決めておくと、次の公表のときに迷いません。