FortiOSなど5製品に重大な修正 詳細は11月10日、先に更新を

Fortinetは2026年10月21日、FortiOSなど5つの製品系列で、重大(critical)と高(high)の脆弱性を直す更新を一斉に出すと、同社のCISOのブログで発表しました。脆弱性は、最先端のAIを使った自社の検査で見つけたものです。脆弱性の詳しい勧告は11月10日まで出さず、先に直る版を出す形をとります。

同社は、この更新をいつもの保守ではなく、優先の変更として扱うよう求めています。インターネットに面した機器から先に上げるよう、強く勧めています。

対象の版と直る版

FortiMail 7.2には直る版がなく、7.4系以降へ移る必要があります。表に無い系列(FortiOS 7.0以前など)の扱いは、ブログには書かれていません。

公開の日時は「10月22日」とだけ書かれています。日本時間の22日14時の時点では、FortiOS 7.6.8のリリースノートはまだ出ておらず、FortiMail 7.6.7のリリースノートは出ていました。

クラウドの版は、次のように扱われます。

• FortiSASEは、10月22日の公開の前に自動で更新される
• FortiManager Cloudは、22日までに更新を出すが、手で更新する必要がある場合がある
• パブリッククラウドのインスタンスは、各クラウドの事業者を通じて順に配っている

なぜ「先に上げて、詳細は後」なのか

Fortinetは、急ぐ理由として次の4つを挙げています。

• 重大と高の修正を含む
• 攻撃者もAIの道具で、修正を逆からたどって、攻撃のコードを数週間ではなく数時間から数日で作れるようになった
• 更新が出ると、修正の差分から弱い所が分かってしまい、更新していない機器が狙われやすくなる
• AIは、一見関係のない低い深刻度の脆弱性をつなげて、深刻な攻撃にできる

同社は、同じ種類のAIの力が攻撃者にも広がっていると認め、公開から悪用までの時間はさらに縮むとみています。今回の検査では、Anthropic、OpenAI、Google、SpaceXと協力したとしています。

PHPの脆弱性「php2shell」でも、AIを使った研究で攻撃できることが示され、公開の直後から攻撃が観測されました(PHPの重大な脆弱性「php2shell」 各国が警戒、攻撃も観測 すぐ更新を)。中身が公表されてから動くのでは間に合わない、という流れが強まっています。

すぐ上げられないとき

Fortinetは、更新までの間に危険を減らす策として、次を挙げています。どれも更新の代わりにはならないとしています。

• 管理の画面(HTTPS・SSH)を、信頼できるIPアドレスだけに絞るか、外向きの口では止める
• FortiManagerの管理の画面を、インターネットから届かないようにする
• 管理は別の経路(アウトオブバンド)で行い、VPNやSASEの裏に置けるものは移す
• 仮想パッチを当てる
• 管理者のアカウントは、強い固有のパスワードと多要素認証にする

Fortinetの製品では、今月もFortiSIEMの重大な脆弱性に攻撃のコードが出ています(FortiSIEMの重大な脆弱性に攻撃コード公開 Fortinet複数製品の更新を確認)。

影響する会社・しない会社

• 影響する: FortiGate(FortiOS)を使っている会社です。8.0・7.6・7.4・7.2の各系列で、直る版より前の版が対象です。
• 影響する: FortiManager、FortiAnalyzerで機器を一元管理している会社です。管理の画面がインターネットから届く構成は、とくに急ぎます。
• 影響する: FortiMail、FortiAuthenticatorを使っている会社です。直る版はすでに出ています。FortiMail 7.2は7.4系以降へ移る必要があります。
• 影響する: FortiGateの運用を、保守の会社やSIerに任せている会社です。任せている先が、22日から23日の作業を組んでいるかを確かめます。
• 影響しない: Fortinetのこの5製品を使っていない会社です。ただし、ほかの会社の製品でも、AIで見つけた脆弱性の修正が増えると見込まれます。

情シスが今日やること

1. FortiGate、FortiManager、FortiAnalyzer、FortiMail、FortiAuthenticatorの台数と版を一覧にします。インターネットに面したものに印を付けます。
2. Fortinetが勧めるように、10月22日から23日に、インターネットに面した機器の作業の時間をとります。保守の会社に任せている場合は、今日中に依頼します。
3. 上げる前に、設定を保存します。上げたあとは、VPNやポリシーが期待どおり動くかを確かめます。
4. 上げる前後で、管理者のログインや、承認していない設定の変更が無いかを、ログで確かめます。
5. すぐ上げられない機器は、管理の画面を信頼できるIPアドレスだけに絞るか外向きで止め、管理者のアカウントに多要素認証を入れます。
6. 11月10日にFortiGuardのPSIRTで勧告が出たら、中身を確かめ、上げ残しが無いかを点検します。