Fortinet（FortiGate）の脆弱性まとめ｜代表的なCVE一覧と影響確認・パッチ・仮想パッチによる対策【2026年最新】

Fortinet製品、とくにFortiGate（FortiOS）は、社内ネットワークとインターネットの境界に置かれ管理画面や各種サービスが外部に面するため、認証回避（auth bypass）系の深刻な脆弱性が繰り返し悪用されてきました。2025年1月に公表され実際の侵入に使われたCVE-2024-55591、2025年末のFortiCloud SSO認証回避（CVE-2025-59718/59719）、2026年に悪用が確認された同じくFortiCloud SSOの認証回避（CVE-2026-24858）はいずれも管理者権限の奪取につながります。本記事は特定の1件だけでなく、Fortinetの代表的な脆弱性を一覧で押さえ、「自社が影響を受けるかの確認」「パッチと仮想パッチによる対策」「攻撃の兆候の検知」まで、実務でそのまま動ける順にまとめた常時更新のリファレンスです。

まとめ：Fortinet脆弱性への対応は「確認→塞ぐ→監視」の3手順

先に結論を示します。Fortinetの脆弱性が公表されたら、次の3手順を上から順に実施してください。個別CVEの詳細は本文で扱いますが、対応の型はどのCVEでも共通です。

• ① 影響確認：稼働中のFortiOS／FortiProxyのバージョンを確認し、FortinetのPSIRTアドバイザリの「影響を受けるバージョン」と突き合わせる。該当すれば即対応対象。
• ② 塞ぐ（恒久＋暫定）：修正版へアップデート（恒久対策）。すぐ更新できない場合はFortiGuard IPSシグネチャによる仮想パッチと、管理画面のインターネット露出停止・アクセス元制限で暫定的に攻撃経路を塞ぐ。
• ③ 監視：見覚えのない管理者／ローカルアカウント、SSL VPNユーザーグループへの追加、設定変更ログを点検し、侵害の兆候がないか確認する。悪用が確認されている脆弱性ほど、パッチ後も侵害調査までを一続きで行う。

認証回避系はパッチ適用済みでも新たな攻撃経路が見つかる例（CVE-2026-24858はCVE-2025-59718/59719の修正済み機器でも悪用が成立）があるため、「更新したから安全」で止めず監視まで含めるのが要点です。境界機器を守る前提の設計思想についてはゼロトラストネットワークの7つの要件も参照してください。

Fortinet（FortiOS）の脆弱性が繰り返し狙われる理由

Fortinetの脆弱性を「毎回の速報」ではなく傾向として捉えると、対策の優先度を判断しやすくなります。

境界に置かれ管理面が露出しやすい

FortiGateはインターネットとの境界に設置され、管理GUI（HTTP/HTTPS）やSSL VPN、SSOといったサービスを外部に公開して運用されることが多い機器です。攻撃者にとっては「1台侵害すれば社内網へ入れる」高価値の標的であり、公開された管理面は認証回避の攻撃対象になりやすい構造にあります。

認証回避（auth bypass）で管理者権限が奪われる型が多い

直近の重大CVEは、いずれも認証を回避して管理者（super-admin）権限を奪う型に集中しています。CVE-2024-55591はNode.js WebSocketモジュールへの細工リクエストで認証を回避、CVE-2025-59718/59719とCVE-2026-24858はいずれもFortiCloud SSOのログイン認証を回避する型です。攻撃が成立すると、攻撃者は不正な管理者アカウントを作成しSSL VPNの利用者グループに追加するなど、恒久的な足場を作ります。この「管理者アカウントの作成」が共通の侵害サインです。

代表的なFortinet脆弱性の一覧（CVEと深刻度）

実務で押さえるべき代表的なCVEを新しい順にまとめます。CVSSや悪用状況は公表後に更新されるため、最終判断は必ずFortinetのPSIRTアドバイザリ（公式）で最新の値と修正版を確認してください。

CVE-2026-24858：FortiCloud SSOの認証回避（悪用中）

FortiCloud SSOを有効にした機器で、FortiCloudアカウントと登録済みデバイスを持つ攻撃者が、他ユーザーの機器へログインできてしまう認証回避です。CVSSは9.4で、CISAの悪用が既知の脆弱性カタログ（KEV）に登録されました。2026年1月20日ごろから、最新のFortiOSに更新済みの機器でも新規のローカル管理者アカウントが作成される被害が複数報告され、CVE-2025-59718/59719を修正済みの環境でも成立した点が特徴です。FortiCloud SSOを使う環境では、修正版への更新に加えSSOの設定を見直してください。

CVE-2025-59718／CVE-2025-59719：FortiCloud SSOログインの認証回避

FortiCloud SSOが有効な機器に対し、細工したSAMLレスポンスの署名検証不備（CWE-347）を突いて認証を回避し、無認証で管理者権限を得られる脆弱性です。CVSSは9.8で、CVE-2025-59718はFortiOS・FortiProxy・FortiSwitchManager、CVE-2025-59719はFortiWebが対象。2025年12月に実際の悪用（管理者アカウントへの不正SSOログインと設定エクスポート）が観測され、CVE-2025-59718はCISAのKEVに登録されました。FortiCloud SSOはFortiCare登録時に自動で有効化される場合があるため、CVE-2026-24858とあわせてSSO設定の見直しが対策の要点になります。

CVE-2025-53844：CAPWAPデーモンの境界外書き込み

FortiOSのCAPWAPデーモンにおける境界外書き込み（CWE-787）で、侵害された配下のマネージドデバイス（FortiAP・FortiSwitch・FortiExtenderなど）を操れる攻撃者が、細工したCAPWAP通信でFortiGate本体上のコードを実行し得ます。深刻度はCVSS 8.x台（高）。FortiOS 7.6.0〜7.6.3／7.4.0〜7.4.8／7.2.0〜7.2.11が影響を受け、7.6.4／7.4.9／7.2.12以降で修正されています（旧ブランチの扱いは公式アドバイザリFG-IR-26-123で確認）。認証回避系ほど派手ではありませんが、FortiAP等を集中管理する環境では放置しないでください。

CVE-2024-55591：Node.js WebSocketの認証回避

本記事が当初扱っていた脆弱性です。FortiOS／FortiProxyのNode.js WebSocketモジュールへ細工リクエストを送ることで認証を回避し、遠隔・無認証でsuper-admin権限を奪える認証回避（CWE-288）で、CVSSは9.6。2025年1月14日にFortinetが公表しましたが、悪用はそれ以前の2024年11月中旬ごろから観測され、攻撃者はランダムな管理者／ローカルアカウントを作成してSSL VPNユーザーグループへ追加していました。影響を受けるのはFortiOS 7.0.0〜7.0.16、FortiProxy 7.0.0〜7.0.19および7.2.0〜7.2.12で、FortiOSは7.0.17以降、FortiProxyは7.0.20または7.2.13以降で修正されています。

自社が影響を受けるかの確認方法

脆弱性が公表されたら、まず「自社の機器が影響範囲か」を確定させます。判断材料は稼働中のFortiOSバージョンと、公式アドバイザリの影響範囲の2つだけです。

FortiOS／FortiProxyのバージョンを確認する

CLIでは get system status を実行し、Version行に表示されるFortiOSのバージョン（ビルド番号を含む）を確認します。GUIではダッシュボードのSystem Informationウィジェットに同じ情報が表示されます。複数台を運用している場合はFortiManagerで一覧化すると、対象機の抜けを防げます。FortiGateの日常運用や機種構成はFortiGate SD-WAN設定ガイドもあわせて参照してください。

PSIRTアドバイザリと突き合わせる

取得したバージョンを、FortinetのPSIRT（FortiGuard Labs）アドバイザリの「Affected Versions／Solutions」と照合します。ここに載る修正版番号が対応のゴールです。IPAやJPCERT/CC、各SIerの注意喚起は日本語で状況を把握するのに有用ですが、影響範囲と修正版の一次情報は必ずPSIRTで確認してください。最新のFortiOSへ更新する背景はFortiOS 8.0が登場した背景と押さえるべき革新領域で解説しています。

Fortinet脆弱性への恒久対策：アップデートと仮想パッチ

影響範囲に該当したら、恒久対策（アップデート）を軸に、すぐ更新できない場合の暫定対策（仮想パッチ）を併用します。

修正版へのアップデート（恒久対策）

最優先は、PSIRTが示す修正版以降へFortiOS／FortiProxyを更新することです。更新前にコンフィグのバックアップを取得し、可能ならメンテナンス時間帯にHA構成のセカンダリから適用して切り戻し手順を確保します。サポート切れ（EOL）のメジャーバージョンは修正版が提供されないため、EOLに達する前に上位ブランチへ移行しておくこと自体が脆弱性対策になります。

FortiGuard IPSによる仮想パッチ（暫定対策）

検証や停止調整で即時アップデートが難しい場合は、仮想パッチで攻撃到達そのものを止めます。仮想パッチとは、機器本体を修正せずにIPS／WAFのシグネチャで既知の攻撃トラフィックを遮断し、パッチ適用までの時間を稼ぐ手法です。FortiGateではFortiGuardのIPSシグネチャを該当ポリシーに適用し、当該CVEを狙う通信をブロックします。ただし仮想パッチはあくまで時間稼ぎであり、恒久対策の代替にはなりません。IPSを有効化したうえで、修正版適用の計画を並行して進めてください。

すぐ実施すべき緊急回避策（パッチ前のワークアラウンド）

認証回避系は「管理面を外部から触れる状態」が悪用の前提です。修正版適用や仮想パッチと並行して、次の回避策で攻撃経路を最小化します。

• 管理GUI／SSL VPNのインターネット露出を停止する：外部から到達できる管理HTTP/HTTPSを無効化するか、必要な場合もVPN経由に限定する。境界機器の管理面を常時インターネットに公開したまま運用するのは避けるべきです。
• アクセス元をtrusted host／local-inポリシーで絞る：管理アクセスを許可するIPを保守拠点などに限定し、それ以外からの管理接続を遮断する。
• SSO／SAML連携を見直す：FortiCloud SSOやSAML認証回避が対象のCVEでは、該当機能の利用可否と設定を確認し、不要なら無効化する。
• 公開サービスとファイアウォールポリシーを棚卸しする：不要な公開ポート・サービスを閉じ、攻撃対象領域を減らす。

これらの原則は、アクセスを最小権限で許可するゼロトラストの考え方やSASEによるアクセス制御とも一致します。

攻撃の兆候と侵害の検知

悪用が確認されている脆弱性では、パッチ適用と並行して「すでに侵入されていないか」を確認します。Fortinet脆弱性の悪用で繰り返し観測される兆候は次のとおりです。

• 見覚えのない管理者アカウントやローカルアカウントが作成されている（ランダムな英数字名のことが多い）。
• 作成された不正アカウントがSSL VPNのユーザーグループに追加されている。
• 身に覚えのない設定変更やポリシー追加が管理ログに残っている。
• 想定外の送信元IPからの管理ログイン成功ログがある。

これらが見つかった場合は、単なるパッチ適用では不十分です。不正アカウントの削除、全管理者パスワードとVPN資格情報のローテーション、影響範囲の調査までを一連の対応として実施してください。

継続的な脆弱性管理：速報対応から運用の型へ

Fortinetの脆弱性は今後も一定の頻度で公表されます。都度の速報対応に追われないために、公表を待つ前提の運用を用意しておくことが、単発のパッチ適用よりも効果的です。

• 一次情報を購読する：FortiGuardのPSIRTアドバイザリとOutbreak Alert、IPA・JPCERT/CCの注意喚起を定常的に受け取り、公表当日に影響判定へ入れる体制にする。
• 資産を棚卸ししておく：稼働中のFortiGate／FortiProxyの機種・FortiOSバージョン・公開サービスを一覧化しておき、CVE公表時に「どの機器が該当か」を即答できるようにする。
• EOLを前倒しで管理する：メジャーバージョンのサポート終了時期を把握し、修正版が出なくなる前に更新計画を立てる。
• 仮想パッチを常用の防御層にする：IPSを平時から有効化し、ゼロデイや適用前の空白期間を埋める。

脆弱性対応の型はFortinet以外のソフトウェアでも共通です。CVE公表時の読み解き方と対応の流れは、Apache HTTP Serverの脆弱性まとめのような他製品の事例も参考になります。

よくある質問

FortiGateが脆弱性の影響を受けているか、どこで確認できますか？

CLIの get system status かGUIのSystem Informationで稼働中のFortiOSバージョンを確認し、FortinetのPSIRT（FortiGuard Labs）アドバイザリの「影響を受けるバージョン」と突き合わせてください。該当すれば対応対象です。

CVE-2024-55591とはどのような脆弱性ですか？

FortiOS／FortiProxyのNode.js WebSocketモジュールへ細工リクエストを送ることで認証を回避し、遠隔・無認証で管理者権限を奪える認証回避（CVSS 9.6）です。FortiOSは7.0.17以降、FortiProxyは7.0.20または7.2.13以降で修正されています。実際の悪用が確認されているため、該当バージョンは早急に更新してください。

fortigateの仮想パッチとは何ですか？

機器本体を修正せず、FortiGuardのIPSシグネチャで既知の攻撃トラフィックを遮断し、修正版を適用するまでの時間を稼ぐ暫定対策です。パッチの代替ではなく、恒久対策であるアップデートと併用するものです。

パッチを当てれば侵害の心配はありませんか？

悪用済みの脆弱性では、パッチ適用前にすでに管理者アカウント作成などの足場を作られている可能性があります。パッチ後も不審なアカウント・設定変更・ログを点検し、必要なら資格情報のローテーションと侵害調査を行ってください。CVE-2026-24858のように修正済み機器で新たな悪用経路が見つかる例もあります。

すぐにアップデートできない場合はどうすればよいですか？

FortiGuard IPSによる仮想パッチで攻撃通信を遮断しつつ、管理GUI／SSL VPNのインターネット露出停止、trusted hostによるアクセス元制限、不要なSSO／SAMLの見直しで攻撃経路を最小化してください。あくまで暫定策なので、修正版適用の計画は並行して進めます。

関連記事

• ゼロトラストネットワークの7つの要件｜NIST SP 800-207の7原則と最小特権
• FortiGate SD-WAN設定ガイド｜ゾーン・SLA・ルールと機種選定【FortiOS 7.6/8.0】
• FortiOS 8.0が登場した背景とネットワーク管理者が押さえるべき3つの革新領域
• SASEとは？構成要素とゼロトラスト・SSEとの違い、導入判断を解説
• Apache HTTP Server 2.4の脆弱性まとめ：CVE-2026-33523ほかの影響範囲と対応手順