Fortinet製品の権限昇格の脆弱性が悪用、対象製品と管理権限を確認

香港のHKCERTは2026年10月20日、Fortinet製品の権限昇格に関する脆弱性情報を公開しました。CVE-2025-61624は実際の攻撃で悪用されているとしています。対象製品を使う会社は、利用中の製品とバージョン、管理権限の付与状況を確認し、対応の判断に必要な情報を集めてください。

中程度の評価でも、実際の悪用が確認された脆弱性

HKCERTのリスク評価は「Medium Risk」、中程度です。ただし、同機関はCVE-2025-61624が実際の攻撃で悪用されているとしています。評価の区分だけで対応を後回しにせず、自社に対象製品があるかを先に確認する必要があります。

問題があるのは、入力されたコマンドを処理するコマンドラインインタープリターです。パストラバーサルと呼ばれる、ファイルの場所を示すパスの扱いに関する不備があります。HKCERTによると、権限を持つ攻撃者が既存コマンドの引数を細工すると、任意のファイルを書き込んだり、削除したりする恐れがあります。

ここで確認したいのは、攻撃者が権限を持つという条件です。認証なしに誰でも攻撃できると読み替えることはできません。一方、必要な権限の具体的な範囲は、今回の資料には書かれていません。どのアカウントなら安全かを独自に決めず、保守窓口に確認する項目として扱ってください。

影響対象として挙げられたのは、FortiOS、FortiPAM、FortiProxy、FortiSwitchManagerです。影響するバージョン、修正版、回避策は今回の資料には書かれていません。また、対象製品の日本での提供は発表には書かれていません。国内の悪用状況も、この資料からは判断できません。

影響する会社・しない会社

• 影響する: FortiOSまたはFortiPAMを利用する会社です。製品単位では確認対象ですが、利用中のバージョンが該当するかは追加確認が必要です。
• 影響する: FortiProxyまたはFortiSwitchManagerを利用する会社です。自社運用か委託運用かを問わず、まず管理担当者に利用状況の確認を依頼してください。
• 影響しない: 上記4製品をいずれも利用していない会社は、今回列挙された製品の確認対象には当たりません。ただし、ほかのFortinet製品の安全性を示す情報ではありません。
• 影響しない: 対象製品を使っていても影響しないバージョンや構成の条件は、発表には書かれていません。製品名だけで更新の要否を確定しないでください。

情シスが今日やること

1. 今日中に、資産台帳と委託先の管理機器一覧を照合します。 上記4製品の有無を確認し、製品名、バージョン、管理担当者、保守窓口を一覧にします。台帳で分からない項目は、管理担当者に確認を依頼してください。今回の資料には、バージョンを確認する管理画面の場所は示されていません。
2. 対象製品が見つかったら、保守窓口に照会します。 CVE-2025-61624と利用中のバージョンを伝え、影響の有無、修正版、回避策、攻撃に必要な権限を質問します。回答が得られない場合も、回答予定日を確認し、未確認事項を残してください。
3. 今日中に、管理アカウントと権限の一覧を点検します。 製品の管理担当者に、誰がどの権限を持つかを確認してもらいます。不要と思われる権限は、利用目的と業務影響を確かめてから見直します。この点検だけで脆弱性への対処が完了したとは扱わないでください。
4. 初回確認の結果を、運用責任者とセキュリティ担当者に共有します。 対象製品の有無、確認待ちの事項、保守窓口の回答を分けて伝えます。更新が必要と分かった場合は、実施担当者と期限を決めてください。悪用の報告と、自社で被害が起きたかどうかは分けて報告します。