ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、フォーティネットは2026年11月10日、FortiOSやFortiManager、FortiAnalyzerなどの脆弱性詳細とCVE番号を一斉に公開しました。同社PSIRTの勧告は15件以上に上り、深刻度クリティカルの脆弱性が3件含まれます。影響を受けるネットワーク機器を放置すると、認証バイパスや権限昇格を許す恐れがあります。
ビジネス＋IT（Yahoo!ニュース）：フォーティネット、FortiOSなどの脆弱性詳細を一斉公開 深刻度「クリティカル」が3件
境界防御や運用管理を担うフォーティネット製品の設定や露出状況に不安がある場合は、ネットワーク機器の侵入リスク診断が役立ちます。
この記事のポイント
影響のあるシステム
- FortiOS：7.2.0〜7.2.13、7.4.0〜7.4.12、7.6.0〜7.6.7、8.0.0〜8.0.1（CVE-2026-126253の影響）
- FortiSASE：一部バージョン（バージョン26.3.1および26.3.1_aなど、CVE-2026-126253の影響）
- FortiManagerおよびFortiAnalyzer：7.6.0〜7.6.7、8.0.0（CVE-2026-126261の影響）
- FortiManagerおよびFortiAnalyzer：dmserverコンポーネントを搭載するバージョン【要確認：対象バージョンの詳細は一次情報に記載なし】（CVE-2026-126229の影響）
推奨される対策
- FortiOSを修正済みバージョン（7.2.14、7.4.13、7.6.8、8.0.2のいずれか）へ更新する
- FortiSASEのバージョン26.3.1や26.3.1_aを利用している環境は、修正版の26.3.2以降へ移行する
- FortiManagerおよびFortiAnalyzerを修正済みバージョン（7.6.8または8.0.1以降）へ更新する
- 2026年10月21日および22日に先行配信された各種修正プログラムの適用有無を機器の管理画面から照合する
この記事に出てくる専門用語
- FortiOS：フォーティネットのファイアウォール製品FortiGateなどを制御する基盤OSです。今回の脆弱性公開では、認証を迂回される重大な欠陥が判明しました。
- FortiManager / FortiAnalyzer：複数のフォーティネット機器を一元的に設定・運用監視するための管理製品群です。今回の脆弱性ではFGFMやdmserverの機能で権限昇格や認可回避が報告されています。
- FGFM：FortiManagerと管理下のFortiGate等の機器が通信を行うための専用プロトコルおよびコンポーネントです。本件では深刻度9.0の権限昇格の欠陥が確認されました。
- CVSS：情報システムの脆弱性が持つ深刻度を0.0から10.0の数値で評価する共通規格です。9.0以上のスコアは最上位の「クリティカル」に分類されます。
FortiOSと管理基盤で公開された脆弱性の概要
ビジネス＋ITの報道によると、フォーティネットは2026年11月10日、同社製品に関する脆弱性情報ページにおいて15件以上のセキュリティ勧告を一斉に公開しました。その中で最も危険度が高いクリティカルと判定された脆弱性は合計3件存在します。
今回公表された3件の脆弱性は、ファイアウォールOSであるFortiOSや、統合管理を担うFortiManager、ログ分析基盤のFortiAnalyzerといった中核製品に分散しています。境界防御と集中制御の双方が影響範囲に含まれている点が、運用側の警戒すべき要素となります。
私たち診断側の視点では、ネットワーク機器の管理プレーンに脆弱性が生じた場合、内部ネットワーク全体への足がかりにされやすいため最優先で警戒します。
深刻度クリティカルと判定された3つの脆弱性の仕組みと影響
フォーティネットの公表資料によると、1件目のCVE-2026-126253はFortiOSに存在する認証バイパスの欠陥であり、CVSSスコアは9.3と極めて高い深刻度を示しています。この脆弱性を受けると、外部からの正規認証をすり抜けられる恐れがあります。
2件目のCVE-2026-126261は、FortiManagerおよびFortiAnalyzerの機器間通信コンポーネントであるFGFMに関わる権限昇格の欠陥で、CVSSスコアは9.0です。さらに3件目として、同じくFortiManagerとFortiAnalyzerのdmserver機能における認可回避の脆弱性（CVE-2026-126229）もクリティカルと評価されています【要確認：CVE-2026-126229の具体的なCVSS数値は一次情報に記載なし】。
いずれも認証やアクセス権限の境界を無効化する性質を持っており、攻撃者に管理権限を奪取される直接の引き金になり得ます。
先行公開されていたパッチと詳細開示までの経緯
脆弱性の詳細が明かされたのは2026年11月10日ですが、修正ソフトウェアそのものは2026年10月下旬に先行して提供されていました。フォーティネットは2026年10月21日にFortiMailとFortiAuthenticator、翌22日にFortiOS、FortiManager、FortiAnalyzerの更新版をリリースしていました。
修正パッチの配信から詳細内容の公開まで約3週間の間隔が空けられており、防御側へ事前の更新期間を与える措置だったと見受けられます。
フォーティネットの勧告では、認証バイパス（CVE-2026-126253）とFGFMの権限昇格（CVE-2026-126261）の2件について、悪用確認のステータスは「いいえ」と記載されています。ただし、詳細な技術情報が公開された後は攻撃検証が進みやすいため、未悪用だからと放置することはできません。
フォーティネット製品を運用する組織が直ちに確認すべき手順
各組織の運用担当者は、稼働しているFortiOSや管理機器が10月公開の修正版に切り替わっているかを真っ先に照合します。10月22日以降に定期更新を行っていないシステムは、未修正のまま外部にさらされている可能性があります。
更新対象となるソフトウェアバージョンは以下の通りです。
- FortiOS：7.2.14、7.4.13、7.6.8、8.0.2のいずれかへのアップデート
- FortiSASE：26.3.1および26.3.1_aを利用中の場合は26.3.2以降への移行
- FortiManagerおよびFortiAnalyzer：7.6.8または8.0.1以降へのアップデート
私たちペネトレーションテスターから見ても、VPNやファイアウォールの管理ポートが意図せずインターネット側へ開いている構成は格好の標的となります。パッチの適用作業と並行して、管理インターフェースへのアクセス制限が適切に施されているかも同時に確認します。
参考文献・記事一覧
社内ネットワークの要となるファイアウォールや集中管理基盤が外部から侵害されないか、実践的な検証をおすすめします。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
