概要
Fortinetは2026年8月13日、月例のセキュリティアップデートとして8件の脆弱性に対するパッチを公開した。中でも注目されるのが2件の高深刻度な認証関連の脆弱性で、いずれも悪用されれば管理機能への不正アクセスを許す恐れがあった。FortiWebでは「ワイルドカード」設定を有効にした管理者アカウントに対して、ランダムなユーザー名とパスワードでもGUI・CLIにログインできてしまう不具合(CVE-2026-26035)が見つかった。FortiManagerでは特定のCLI設定と有効な証明書へのアクセスを前提に、配下で管理している任意のFortiGate機器になりすませる認証バイパスの脆弱性(CVE-2026-70468)が確認されている。現時点でFortinetはこれらの脆弱性が実際に悪用された証拠は確認していないとしている。
技術的な詳細
CVE-2026-26035はFortiWebのバージョン8.0.3、7.6.7、7.4.12、7.2.13で修正されており、アップデートが適用できない場合の暫定策としてワイルドカード設定の無効化が案内されている。FortiManagerのCVE-2026-70468は、攻撃者が正規のFortiGate機器になりすまして管理通信を行える点が懸念されており、大規模な管理環境ほど影響範囲が広がりやすい性質を持つ。あわせて、FortiClient(Windows版)にはクラフトされたDNS応答を通じて任意コード実行につながるバッファオーバーフローの脆弱性(CVE-2026-70465)も高深刻度として報告され、修正されている。このほかFortiWeb WAF、FortiOS、FortiSIEMにまたがる中〜低深刻度の複数の不具合も同時に対応されたほか、HTTP/2の実装を狙った「HTTP/2 Bomb」攻撃(CVE-2026-49975)に関するガイダンスも公開された。
今後の対応
Fortinet製品はこれまでもゼロデイ攻撃の標的として繰り返し狙われてきた経緯があり、今回のように悪用報告がない段階でも早期のパッチ適用が強く推奨される。特にFortiManagerやFortiWebのような管理・境界防御製品は侵害された場合の影響が大きいため、管理者はワイルドカード設定の見直しやCLI・証明書アクセスの棚卸しを含め、Fortinetが公開したPSIRTアドバイザリに沿った対応を速やかに実施することが望ましい。