Fortinet 製品の脆弱性群が FIX：Critical な認可バイパスの脆弱性への対応が急務

Fortinet Patches Five Vulnerabilities Across FortiAP, FortiOS, and Enterprise Products

2026/05/12 CyberSecurityNews — 2026年5月12日に Fortinet が公開したのは、ワイヤレス AP コントローラ／ネットワーク OS／エンタープライズ管理プラットフォームにまたがる、5 件の脆弱性に対するセキュリティ・アドバイザリである。この中には、FortiSandbox における深刻な認可バイパスの脆弱性が含まれる。

FortiSandbox における深刻な欠陥

今回の最も深刻な脆弱性 CVE-2026-26083 (FG-IR-26-136) は、FortiSandbox／FortiSandbox Cloud／FortiSandbox PaaS に影響する認可欠如の欠陥であり、Critical と評価されている。 この脆弱性を GUI 経由で悪用するリモート攻撃者は、認証を必要とせずに、制限機能や機密性の高いサンドボックス分析データにアクセスする恐れがある。 

影響対象には FortiSandbox 5.0／4.4、FortiSandbox Cloud 24／23／5.0、FortiSandbox PaaS 21.3〜23.4／5.0／4.4 が含まれる。認証不要の攻撃対象領域が存在するため、今回のアドバイザリの中で、最優先でパッチを適用すべき脆弱性である。

FortiAP における CLI コマンド・インジェクション

Fortinet の無線アクセスポイント・ファームウェアに影響する、2 件の OS コマンド・インジェクション脆弱性が公開された。そのうちの CVE-2025-53680 (FG-IR-26-131) は、FortiAP CLI 内の OS コマンドにおける特殊要素の不適切な無効化に起因する。影響が及ぶ範囲は、FortiAP 6.4〜7.6、FortiAP-U 7.0、FortiAP-W2 7.2〜7.4 となる。 また、2 件目の脆弱性 CVE-2025-53870 (FG-IR-26-133) も、FortiAP 6.4〜7.6 および FortiAP-W2 7.2〜7.4 に影響することが確認されている。 

これらの脆弱性は、いずれも Medium と評価されている。実行には認証済みの内部アクセスが必要であるが、CLI アクセス権を持つ攻撃者が、アクセスポイント・ハードウェア上で任意の OS レベル・コマンドを実行するリスクを孕んでいる。

FortiAnalyzer／FortiManager API における DoS リスク

CVE-2025-67604 (FG-IR-26-137) は、FortiAnalyzer／FortiManager の API レイヤーにおける、潜在的に危険な関数の使用に関連する脆弱性であり、評価は Medium とされている。 この脆弱性は FortiAnalyzer／FortiManager 7.2〜8.0 に影響する。認証済みの内部攻撃者が、API を介して DoS 状態を引き起こした場合に、SOC 環境における集中型ログ分析やネットワーク管理機能に支障をきたす恐れがある。

FortiOS CAPWAP デーモンにおける境界外書き込み

CVE-2025-53844 (FG-IR-26-123) は、FortiOS 内の CAPWAP (Control and Provisioning of Wireless Access Points) デーモンに存在する境界外書き込み脆弱性であり、FortiOS 7.2／7.4／7.6 に影響を及ぼす。 アクセスポイントのエンドポイントを制御する攻撃者が、この脆弱性を悪用して不正な形式の CAPWAP トラフィックを送信すると、FortiOS プロセスのクラッシュまたは侵害が生じる可能性がある。 

ただし、攻撃ベクターは “Others/Internal/Authenticated” と定義されており、攻撃を成立させるためには、信頼済みネットワーク・セグメント内での足場確立、あるいは不正な AP (アクセスポイント) の設置といったシナリオが必要であることを示唆している。

CVEProductSeverityVectorAuth Required
CVE-2026-26083FortiSandbox / Cloud / PaaSCriticalGUINo
CVE-2025-53680FortiAP, FortiAP-U, FortiAP-W2MediumCLIYes
CVE-2025-53870FortiAP, FortiAP-W2MediumCLIYes
CVE-2025-67604FortiAnalyzer, FortiManagerMediumAPIYes
CVE-2025-53844FortiOSMediumCAPWAPYes
対策

影響を受ける Fortinet 製品を運用する、ユーザー組織にとって必要なことは、認証不要の攻撃が可能であり Critical と評価される脆弱性 CVE-2026-26083 に、最優先で対応することだ。これと並行して、その他の Medium 脆弱性についても、次回メンテナンス・ウィンドウでのパッチ適用や CLI／API アクセスの制限を進める必要がある。 

さらに、内部ネットワーク・トラフィックの監視や、異常な CAPWAP／API アクティビティの確認を行うことが推奨される。詳細なパッチ情報および回避策については、Fortinet PSIRT アドバイザリ・ページを参照の上、適切な対応をとるべきである。

訳者後書：今回のセキュリティ・アドバイザリでは、認可の不備や入力値の検証不足が主な原因となっています。特に CVE-2026-26083 は、本来必要なはずの認可プロセスが欠落していたため、外部から認証なしで機密データに触れられてしまう状態でした。また CVE-2025-53680 や CVE-2025-53870 では、コマンド実行時の特殊文字に対する不適切な無効化が原因で、意図しない命令が実行されるリスクが生じています。ほかにも CVE-2025-67604 のように危険な関数の使用が原因となるものや、 CVE-2025-53844 のようにメモリへの書き込み範囲を正しく制限できていないケースも含まれています。ご利用のチームは、ご注意ください。よろしければ、Fortinet での検索結果も、ご参照ください。