Palo Alto Networksは2026年10月14日、FortiGateに潜伏するマルウェア「PEERSTITCH」の調査結果を公表しました。調査対象は2024年9月に起きた通信事業者への侵入で、500台超のFortiGateの稼働設定が盗まれました。利用企業が確認したいのは、機器の更新状況だけでなく、設定や認証情報の流出、不正な設定配布の有無です。
管理基盤への侵入から設定・認証情報の悪用へ
調査したUnit 42によると、侵入の起点はFortiManagerの脆弱性「CVE-2024-47575」でした。認証していない遠隔の攻撃者が、任意のコマンドを実行できる問題です。
盗まれた設定は、事業者自身と顧客のネットワークを守るFortiGateのものでした。流出情報には、公開証明書や秘密鍵、内部構成図、通信経路を示すルーティングテーブルも含まれます。Unit 42は、流出した設定から管理者とSSL/VPNのパスワードを復元できたと報告しています。
攻撃者は管理下の複数のFortiGateに、不正な通信取得設定を配布しました。傍受の対象には、暗号化されていないHTTP通信などが含まれていました。また、正規の認証情報を使い、不正なSSL/VPN接続を確立したとしています。
このため、今回の事例を自社の点検に使うなら、脆弱性の確認と、すでに持ち出された情報への対応を分ける必要があります。設定変更の履歴を確認するだけでなく、設定に含まれる認証情報や秘密鍵を誰が管理しているかも整理したいところです。
ファイルや新しい通信だけでは見つけにくい潜伏
Unit 42によると、攻撃者は「CVE-2025-61624」を悪用し、FortiOSの管理者権限から、より強いroot権限へ昇格しました。そのうえで、一部のファイアウォールにPEERSTITCHを配備したとしています。
PEERSTITCHはARM64向けのマルウェアで、メモリに常駐します。ディスクに永続的な実行ファイルを残さず、待受ポートを開くことも、外向きの接続を開始することもありません。
ログ管理とIPsec VPNの正規プロセスに寄生し、その通信を利用します。条件に合うVPN接続では、標準のセキュリティ検証を回避するとしています。Unit 42は、こうした特徴が従来の検知を難しくすると説明しています。新しい実行ファイルや不審な外向き通信が見当たらないことだけで、安全と判断しない点が重要です。
日本での提供は発表には書かれていません。今回の発表は調査報告であり、資料には影響する製品の版や修正版も書かれていません。
影響する会社・しない会社
- 影響する: FortiManagerでFortiGateを管理する会社です。管理基盤を入口に、複数機器へ設定が配布された事例として、管理権限と変更履歴の点検に関係します。影響する版の条件は発表には書かれていません。
- 影響する: FortiGateの管理を通信事業者に委託している会社です。調査事例では顧客を保護する機器の設定も盗まれており、委託先に設定流出の有無と調査範囲を確認する材料になります。
- 影響しない: FortiManagerとFortiGateを利用していない会社は、今回報告された製品への直接の点検対象には当たりません。ただし、委託先での利用は別に確認してください。
- 影響しない: この報告だけで、通信事業者の顧客が侵入被害を受けたと判断することはできません。Unit 42の調査は事業者自身の環境に限られ、顧客ネットワークへの侵入を確認した報告ではないと説明しています。
情シスが今日やること
- 今日の初動として、IT資産台帳と委託契約を確認し、FortiManager・FortiGateの利用箇所、管理者、運用委託先を一覧にします。製品の版も記録し、保守窓口に各脆弱性の対象版と修正情報を照会してください。
- 管理担当者に、FortiManagerからの設定配布履歴と、FortiGateの現在の通信取得設定の確認を依頼します。承認済みの変更記録と照合してください。具体的な管理画面のメニュー名は、発表には書かれていません。
- VPN担当者に、SSL/VPNの接続記録と管理者の認証記録の確認を依頼します。正規アカウントによる接続も確認対象とし、身に覚えのない接続や操作があれば、ログを残してインシデント対応担当へ共有します。
- 設定流出が疑われる場合は、管理者・SSL/VPNの認証情報と秘密鍵について、変更・失効・再発行の要否を保守窓口と検討します。作業前に、接続への影響と切り替え手順を整理してください。
- 委託先には、設定の流出有無、対象機器、顧客側を調査したかを問い合わせます。回答を受けたら、確認済みの事実と未確認の範囲を分けて経営層へ報告します。発表には対応期限は書かれていないため、社内で回答・判断の期限を決めてください。
