Fortinetは2026年10月13日付で、FortiSIEMの脆弱性情報「FG-IR-26-180」を初公開しました。認証していない攻撃者が、細工した通信でコードやコマンドを不正に実行できる恐れがあります。同社はほかにも複数製品の脆弱性情報を公表しており、利用企業は製品と稼働バージョンごとに対策を分けて確認する必要があります。
FortiSIEMは2件を分けて確認
FG-IR-26-180は、想定外の場所にあるファイルへアクセスする「パストラバーサル」の脆弱性です。対象はFortiSIEM 7.5.0で、対策は7.5.1以上への更新です。Fortinetは、TCPポート27918へのアクセス制限でも回避できるとしています。FortiSIEM 7.6とFortiSIEM Cloudは、この脆弱性の影響を受けません。
一方、FortiSIEMのGUI、つまり画面を使う操作機能には、操作を許可してよいか判断する認可処理が欠ける別の脆弱性があります。こちらは認証済みの攻撃者が、細工したHTTP要求でコードやコマンドを不正に実行できる恐れがあるものです。
対象はFortiSIEM 7.5の全バージョンです。Fortinetは修正済みリリースへの移行を案内しており、7.6は影響を受けません。今回の資料には、この問題に対応する7.5系の具体的な修正版番号は書かれていません。
重要なのは、7.5.1以上への更新だけで2件とも対策できたと判断しないことです。また、ポート27918へのアクセス制限は、FG-IR-26-180について示された回避策です。もう一方にも有効だとは資料に書かれていません。
ほかの製品は修正版の提供状況にも注意
FortiOS、FortiProxy、FortiSwitchには、同じメモリ領域を重ねて解放する「二重解放」の脆弱性があります。ローカルの認証済み攻撃者が、文字で操作するCLIの細工したコマンドにより、newcliを停止させる恐れがあります。資料が示すのはnewcliの停止であり、機器全体の停止とは書かれていません。
対象と7.6系の対策は次のとおりです。
- FortiOS：7.6.0～7.6.7、および7.4・7.2の全バージョンが対象。7.6系は、今後提供予定の7.6.9以上への更新が対策です。
- FortiProxy：7.6.0～7.6.6、および7.4・7.2の全バージョンが対象。7.6系は7.6.7以上への更新が対策です。
- FortiSwitch：7.6.0～7.6.6、および7.4・7.2の全バージョンが対象。7.6系は7.6.7以上への更新が対策です。
これらの7.4・7.2系について、具体的な移行先は今回の資料には書かれていません。
FortiSandboxとFortiSandbox Cloudでは、外部から機能を呼び出すAPIに、暗号鍵が固定で組み込まれている脆弱性があります。未認証の攻撃者が、細工したHTTP要求で一部のエンドポイントにアクセスできる恐れがあります。
両製品とも、5.2.0～5.2.1、5.0.0～5.0.6、4.4の全バージョンが対象です。5.2系は、今後提供予定の5.2.2以上への更新が対策です。5.0系ではFortiSandboxは5.0.7以上、FortiSandbox Cloudは今後提供予定の5.0.7以上への更新が案内されています。4.4系は修正済みリリースへの移行が必要です。
日本での修正版の提供時期やリージョン別の適用状況は、発表には書かれていません。特にクラウド製品は、案内された版と自社環境への適用状況を分けて確認してください。
影響する会社・しない会社
- 影響する: FortiSIEM 7.5系を使う会社です。7.5.0は今回取り上げた2件とも確認が必要です。
- 影響する: FortiOS、FortiProxy、FortiSwitchの上記対象版を使う会社です。攻撃条件には、ローカルで認証済みであることが含まれます。
- 影響する: FortiSandboxまたはFortiSandbox Cloudの上記対象版を使う会社です。クラウド版も対象に含まれます。
- 影響しない: FortiSIEM 7.6を使う会社は、今回取り上げたFortiSIEMの2件の影響を受けません。
- 影響しない: FortiSIEM Cloudを使う会社は、FG-IR-26-180の影響を受けません。GUIの別の脆弱性について、クラウド版の扱いは今回の資料には書かれていません。
情シスが今日やること
- 今日、IT資産台帳から対象製品を抽出し、各製品の管理画面で稼働バージョンを確認してください。具体的な画面名やメニュー名は資料にありません。管理を委託している場合は、委託先に製品名・版・確認日を報告してもらいます。
- FortiSIEM 7.5.0があれば、ネットワーク管理者にTCPポート27918のアクセス制限状況を確認してもらいます。更新までの回避策を検討しつつ、GUIの別の脆弱性は別項目として対応表に残してください。
- 更新計画を決める前に、運用担当者または委託先へ製品ごとの移行先を確認します。FortiSIEM 7.5系やFortiOSなどの7.4・7.2系は、資料にない修正版番号を推測せず、修正済みリリースの案内と照合してください。
- 今日の確認結果を運用責任者に共有し、「更新計画を立てるもの」「修正版の提供待ち」「影響なし」に分けます。提供予定の修正版は確認担当と次回確認日を決め、更新日が決まった製品は利用部門へ作業予定を知らせてください。
