FortiGateやFortiMailで悪用確認が相次ぐ。FortiOSは2件がCISAの一覧入り、ファームウェア更新を
- 3分で読める
- 一次資料4件
- セキュリティ図鑑編集部
FortiMailの脆弱性のCVSS
悪用を確認FortiOS CVE-2025-25249のCVSS
9月9日KEV追加CISAのKEVに入ったFortiOSの脆弱性
9月と10月SUMMARY
要点をまとめると
- 01
フォーティネットは2026年10月1日、FortiMailの認証なしで悪用できる脆弱性（CVE-2026-104286）を公表し、悪用を確認したとしました。
- 02
米CISAは9月と10月に、FortiOSの既知の脆弱性2件（CVE-2025-25249、CVE-2025-61624）も悪用確認済みに加えています。
- 03
FortiGateを使う会社は、ファームウェアが修正版以上か確かめてください。
この記事をスライドで理解する（7枚）
1 / 7中小企業でも多く使われているフォーティネットの製品で、悪用の確認が続いています。2026年10月1日には、メールセキュリティ機器FortiMailの深刻な脆弱性が公表されました。あわせて米CISAは、FortiGateのOSであるFortiOSの既知の脆弱性2件を、9月と10月に悪用確認済みの一覧（KEV）へ加えました。
01発表されている事実
フォーティネットの何が狙われてるの？
FortiOSのCVE-2025-25249、CVE-2025-61624と、FortiMailのCVE-2026-104286の悪用が確認されています。
FortiOSのヒープバッファオーバーフロー（CVSS 8.1）がKEV入り
FortiMailで認証なしにファイル書き込み（CVSS 9.8）。悪用を確認
FortiOSのCLIのパストラバーサルがKEV入り
- FortiOS ほか／CVE-2025-25249
cw_acd デーモンのヒープバッファオーバーフロー。認証なしで細工した通信によりコードを実行されるおそれ（CVSS 8.1）。公表は2026年1月
- FortiMail／CVE-2026-104286
認証なしで任意のファイルを書き込まれるおそれ（CVSS 9.8）。フォーティネットが「悪用を確認」
- FortiOS ほか／CVE-2025-61624
CLIのパストラバーサル。管理者権限を持つ攻撃者がファイルを書き込み・削除できる。フォーティネットも「悪用あり」と表示。公表は2026年4月
なお、CVE-2025-25249 について、フォーティネットのアドバイザリは10月27日時点で「悪用あり」の表示になっていません。悪用の確認はCISAの登録によるものです。
02影響を受ける人
FortiGateを使ってたら対象なの？
ファームウェアが修正版より前なら対象です。6.4系は修正版がなく移行が必要で、61624は7.2系や7.0系も移行が必要です。
FortiOS 7.6.4、7.4.9、7.2.12、7.0.18より前。6.4系は移行
FortiOS 7.6.5、7.4.10より前。7.2系以前は移行が必要
FortiMail 8.0.2、7.6.7、7.4.9以降が修正版。7.2系は移行
FortiGateを使っている会社で、ファームウェアが次の版より前のものです。
- CVE-2025-25249：FortiOS 7.6.4、7.4.9、7.2.12、7.0.18。6.4系は修正版がなく、移行が必要
- CVE-2025-61624：FortiOS 7.6.5、7.4.10。7.2系、7.0系、6.4系は修正版がなく、移行が必要
FortiMailは8.0.2、7.6.7、7.4.9以降が修正版で、7.2系は7.4系以上への移行が必要です。FortiMail Cloudはフォーティネット側で対応済みです。
03今すぐやること
まず何をすればいいの？
管理画面のダッシュボードで版を確かめ、修正版へ上げます。保守を任せている場合は、販売店やSIerに版と更新予定を問い合わせてください。
管理画面のダッシュボードで。保守先には版と更新予定を聞く
7.2系以前なら7.4.10以上か7.6.5以上への移行を計画
「fabric」を外す、CAPWAP-CONTROLを止める、IBEを無効化
知らないアカウントやパスワードの使い回しがないか
- ファームウェアの版を確かめる。FortiGateの管理画面のダッシュボードに表示されます。保守を販売店やSIerに任せている場合は、版と更新の予定を問い合わせてください。
- 修正版へ上げる。7.2系以前を使っているなら、7.4.10以上か7.6.5以上への移行を計画します。フォーティネットは、公式の「アップグレードパス」ツールで手順を確かめるよう勧めています。
- すぐ更新できない場合の回避策。CVE-2025-25249 では、インターフェイスの管理アクセスから「fabric」を外す、CAPWAP-CONTROL（UDP 5246〜5249）を信頼できる機器以外から止める方法が示されています。FortiMailでは、IBEを無効にする、Webメールをインターネットから使えないようにする方法が示されています。
- 管理者アカウントを見直す。CVE-2025-61624 は管理者権限が前提です。知らないアカウントがないか、パスワードの使い回しがないかを確かめます。FortiMailでは、見覚えのないアーカイブ用アカウントの追加などが侵害の痕跡として挙げられています。
04同じことを防ぐには
こういうの、どう防げばいいの？
管理画面をインターネットに出さない、ファームウェアを定期的に上げる、の2つを保守契約に明記しておくと漏れが減ります。
インターネットに管理画面を出さない
ファームウェアを定期的に上げることを契約に明記
見張りきれない場合は機器のログを監視してもらう
UTMやVPN機器は、社内ネットワークの入口です。管理画面をインターネットに出さない、ファームウェアを定期的に上げる、の2つを保守契約の中身として明記しておくと漏れが減ります。自社で見張りきれない場合は、機器のログを監視するSOCサービスもあります。図鑑の「UTM・ファイアウォール」と「監視・SOC・MDR」で比べられます。
NEXT ・ 次に読む
週1回・無料
「今週気をつけること」をメールで受け取るいま悪用されている脆弱性と、出回っている詐欺の手口を、毎週まとめてお届けします。いつでも解除できます。SOLUTIONS同じ被害を防ぐ対策
この記事に関係する対策の種類から、評価の高いサービスを選んでいます。
- 証拠15/35
- 透明さ35/35
- 使いやすさ24/30
- 料金
- 月150円〜
- 無料
- 30日体験
- 返金
- —
- 日本語窓口
- フォーム
ソリトンシステムズが国内で開発するIDaaSで、ID管理、シングルサインオン、多要素認証、電子証明書の発行をまとめて提供します。ISMAPに…
- 証拠19/35
- 透明さ30/35
- 使いやすさ20/30
- 料金
- 月2,000円〜
- 無料
- —
- 返金
- —
- 日本語窓口
- 電話
静岡市の鈴与システムテクノロジーが提供する、IPAの「サイバーセキュリティお助け隊サービス」です。社内にUTMを置くネットワーク監視と…
- 証拠15/35
- 透明さ28/35
- 使いやすさ0/30
- 料金
- 外貨建て
- 無料
- —
- 返金
- 14日
- 日本語窓口
- 不明
NordVPNと同じNord Securityグループの法人向けネットワークセキュリティ。5ユーザーから契約でき、SSOや専用の固定IPゲートウェイで社内…
出典（一次資料）4件被害を受けた組織や公的機関の発表だけを出典にしています（2026.10.30に確認）開く
- 1Fortinet PSIRT「FG-IR-26-175 Improper Limitation of a Pathname to a Restricted Directory」 ↗fortiguard.fortinet.com
- 2Fortinet PSIRT「FG-IR-26-122 Path Traversal in CLI」 ↗fortiguard.fortinet.com
- 3Fortinet PSIRT「FG-IR-25-084 Heap-based buffer overflow in cw_acd daemon」 ↗fortiguard.fortinet.com
- 4CISA「Known Exploited Vulnerabilities Catalog」 ↗www.cisa.gov