Fortinet Patches Multiple Authentication Vulnerabilities in FortiWeb, FortiManager, and FortiClient
2026/08/13 CyberSecurityNews — Fortinet が公開したのは、FortiWeb／FortiManager／FortiClient に存在する認証関連の脆弱性群を修正するものであり、影響を受けるシステムを管理する管理者に対して、迅速な修正プログラムの適用が推奨されている。
一連の脆弱性の中で最も深刻な脆弱性である CVE-2026-26035 (CVSS：8.8) は、FortiWeb のログイン機構に存在するものであり、特定の設定が有効な環境で容易に悪用される可能性がある。Fortinet のアドバイザリによると、この欠陥は不適切な認証 (CWE-287) の問題であり、FortiWeb の管理者アカウントが Remote RADIUS Type 認証を使用するよう設定され、ワイルドカード設定が有効化されている場合に発生する。
このデフォルトではない設定では、アプライアンスがリモート認証サーバ上の任意のユーザー名を定義済みの管理者グループと一致させてしまう可能性があり、その結果、ランダムなユーザー名とパスワードを使用する未認証のリモート攻撃者が FortiWeb の GUI／CLI にログインできると Fortinet のアドバイザリに記されている。この攻撃の実行に際して、有効な認証情報の把握や推測は不要であり、破綻した照合ロジックがその処理を代行するため、攻撃者がこの Web アプリケーション・ファイアウォール (WAF) の管理権限を取得する可能性がある。
この脆弱性の影響範囲は、FortiWeb のバージョン 8.0.0〜8.0.2／7.6.0〜7.6.6／7.4.0〜7.4.11／7.2.0〜7.2.12 および、旧世代の 7.0.x ブランチであり、すでに Fortinet は、FortiWeb 8.0.3／7.6.7／7.4.12／7.2.13 をリリースしてこの問題に対処している。旧世代の 7.0 系列には修正版が提供されていないため、これらのバージョンを運用している組織に推奨されるのは、サポート窓口に問い合わせ、対応方針を確認することである。
直ちに修正プログラムを適用できない場合に Fortinet が推奨する回避策は、Remote Type の管理者アカウントにおけるワイルドカード設定の無効化であり、GUI では System > Administrators から設定でき、CLI では “config system admin” 配下で “set wildcard disable” を実行する。
アドバイザリの公開時点で Fortinet は、この問題の実環境における活発な悪用を確認していないものの、攻撃の複雑性が低いため、この状況が急速に変化する可能性がある。
FortiManager の脆弱性
これとは別に、FortiGate ファイアウォール群の設定および監視に、多くの企業が使用する集中管理プラットフォームである FortiManager においても、同様に懸念される問題が修正された。脆弱性 CVE-2026-70468 (CVSS：8.1) は、代替経路またはチャネルを悪用する認証回避 (CWE-288) に分類されており、この問題は、FortiManager の管理対象である FortiGate デバイスとの通信に使用する FGFM プロトコルの弱点に起因する。ただし、その悪用に際しては、特定の CLI 設定オプションと有効な証明書が必要となる。
これらの条件が満たされた場合、攻撃者は FortiManager の管理下にある任意の FortiGate デバイスになりすますことができ、そのような手法を用いて大規模にファイアウォール・ポリシーを操作できる。影響を受けるバージョンは、FortiManager／FortiManager Cloud 7.6.1／7.4.3〜7.4.5／7.2.5〜7.2.9 などであり、その修正バージョンは 7.6.2／7.4.6／7.2.10 である。
さらに、今回の修正サイクルでは、FortiClient for Windows に存在する深刻度 High のバッファー・オーバーフローの脆弱性 CVE-2026-70465 も対処されている。この典型的なバッファーコピーの欠陥により、DNS 応答を傍受または偽装できる位置にいる未認証の攻撃者は、細工したネットワーク・パケットを介して標的エンドポイント上で任意のコードを実行する可能性があり、影響を受けるのは FortiClient Windows 7.4.0〜7.4.3／7.2.0〜7.2.11 である。
Fortinet 製品群が、日和見型の攻撃者と国家支援型の攻撃者の双方から繰り返し標的にされてきたことを踏まえると、FortiWeb／FortiManager／FortiClient を運用するセキュリティ・チームに求められるのは、これらの脆弱性への対応を優先することである。
| CVE ID | Affected Product | Vulnerability Type | Fixed Version(s) |
|---|---|---|---|
| CVE-2026-26035 | FortiWeb | Improper authentication (CWE-287) via wildcard RADIUS setting allowing login with random credentials | 8.0.3, 7.6.7, 7.4.12, 7.2.13 |
| CVE-2026-70466 | FortiWeb WAF | Content-Encoding WAF evasion; incomplete list of disallowed inputs (CWE-184) letting attackers bypass WAF policies | Not affected in 8.0.3+; upgrade to latest 7.x branch fix |
| CVE-2026-70465 | FortiClient for Windows | Classic buffer overflow (CWE-120) exploitable via crafted/spoofed DNS responses | Fixed in releases above 7.4.3 and 7.2.11 |
| CVE-2026-70467 | FortiSIEM | Server-side request forgery (SSRF, CWE-918) allowing an authenticated attacker to trigger HTTP requests | Upgrade path per affected 6.5–7.5.0 branches nvd.nist+1 |
| CVE-2026-70468 | FortiManager / FortiManager Cloud | Authentication bypass via alternate path/channel (CWE-288) in FGFM protocol, enabling FortiGate impersonation | 7.6.2, 7.4.6, 7.2.10 |
| CVE-2026-71407 | FortiOS | Stack-based buffer overflow (CWE-121) in WAD daemon via crafted sockets (requires Kerberos + SOCKS explicit proxy) | Upgrade beyond 7.6.6 tenable+1 |
| CVE-2026-71408 | FortiOS | Allocation of resources without limits (CWE-770); slow HTTP DoS on the web UI | Upgrade beyond affected 7.2/7.4/7.6.6 builds nvd.nist+1 |
| CVE-2026-49975 | FortiWeb, FortiAppSec Cloud (via Apache HTTP Server) | “HTTP/2 Bomb” — memory allocation with excessive size value (CWE-789), an HPACK compression bomb combined with flow-control stalls causing memory exhaustion | Mitigation via FortiWeb/FortiAppSec Cloud rules; upstream fix in Apache HTTP Server 2.4.68 cve+2 |
Fortinet 製品である FortiWeb／FortiManager／FortiClient Windows に深刻な認証回避やコード実行の欠陥が見つかりました。特定の条件下でログイン処理の照合ロジックが正常に機能しなくなる点や、管理通信プロトコルの弱点、DNS 応答の制御に起因するメモリ破壊が問題の背景にあります。外部からの不正アクセス／管理権限の全奪取／ネットワーク設定の意図しない改変／端末上での任意コード実行といった深刻な影響が生じる危険性があります。製品ごとに提供されている修正済みバージョンへのアップデートや、設定におけるワイルドカード機能の無効化などが求められいます。
IoT OT Security News 
You must be logged in to post a comment.