Fortinet Urges Customers to Patch Critical Flaws Affecting FortiOS, FortiManager, and FortiAnalyzer
2026/10/22 CyberSecurityNews — Fortinet は顧客に対して、2026年10月22日に公開予定の FortiOS／FortiManager／FortiAnalyzer 向けセキュリティ・アップデートを優先して適用するよう呼びかけている。今回の一斉リリースに含まれるのは、AI を活用したセキュリティ・テストにより発見された、深刻度が Critical／High の脆弱性への修正である。インターネットからアクセス可能なデバイスを最優先で対応すべきだと、同社は強く求めている。
10月21日の発表で、Fortinet の CISO である Carl Windsor は、今回の修正を通常の保守作業として扱わないよう顧客に警告している。このアップデートは、FortiMail および FortiAuthenticator 向けのセキュリティ・リリースに続くものであり、複数の主要製品にパッチ適用の対象を拡大するものとなる。
Fortinet によると、同社のテスト・プログラムでは高度な AI モデルが使用され、コードの実行経路／プロトコル処理／設定ロジックなどが検査されている。同社は、セキュリティチームとの協力について、Anthropic／OpenAI／Google／SpaceX などに謝意を示した。
懸念されるのは、新たな脆弱性の発見だけではない。Fortinet が警告するのは、 AI を悪用する攻撃者が、修正済みソフトウェアと旧バージョンを比較し、変更されたコードを特定することで、数時間から数日の短期間でエクスプロイトを開発する可能性があることだ。
この手法は、パッチ差分解析 Patch Diffing と呼ばれ、顧客がアップグレードを完了する前に、脆弱性の存在や悪用方法が明らかになる可能性がある。また、AI を用いる攻撃者が、低深刻度の複数の脆弱性を組み合わせ、強力な攻撃チェーンを容易に構築する可能性もある。
ただし、今回の発表には、個別の CVE 識別子／CVSS スコア／具体的な攻撃成立条件などは記されていない。また、新たに修正された脆弱性について、実環境での悪用が確認されたとの報告もない。
以前のテストに関する報告においても、Fortinet は人間による検証の重要性を強調している。セキュリティ・アナリストが AI の検出結果を検証し、実際に悪用可能かどうかを確認することで、真の脆弱性と誤検知を区別するとともに、各製品におけるセキュリティ改善策を提案している。
影響を受けるバージョンと必要なアップデート
FortiOS の利用者にとって必要なことは、使用中のブランチに応じて、バージョン 8.0.2／7.6.8／7.4.13／7.2.14 へとアップグレードすることだ。影響を受けるバージョンは、8.0.0～8.0.1／7.6.0～7.6.7／7.4.0～7.4.12／7.2.0～7.2.13 である。
FortiManager と FortiAnalyzer では、修正が提供されるバージョンが共通しており、8.0.2／7.6.8／7.4.12／7.2.13 となっている。影響を受けるバージョンは、8.0.0～8.0.1／7.6.0～7.6.7／7.4.0～7.4.11／7.2.0～7.2.12 である。
Fortinet は、これらのアップデートを 10月22日に提供するとしている。
FortiMail の修正済みバージョンは、8.0.2／7.6.7／7.4.9 である。影響を受ける FortiMail 7.2 系列を使用している場合は、7.4 系列以降への移行が必要となる。
FortiAuthenticator の利用者は、使用中のブランチに応じて、8.0.4／ 6.6.11 を適用する必要がある。
| Product | Release Branch | Affected Versions | Patched Version or Required Upgrade |
|---|---|---|---|
| FortiOS | 8.0 | 8.0.0–8.0.1 | 8.0.2 or later |
| FortiOS | 7.6 | 7.6.0–7.6.7 | 7.6.8 or later |
| FortiOS | 7.4 | 7.4.0–7.4.12 | 7.4.13 or later |
| FortiOS | 7.2 | 7.2.0–7.2.13 | 7.2.14 or later |
| FortiManager | 8.0 | 8.0.0–8.0.1 | 8.0.2 or later |
| FortiManager | 7.6 | 7.6.0–7.6.7 | 7.6.8 or later |
| FortiManager | 7.4 | 7.4.0–7.4.11 | 7.4.12 or later |
| FortiManager | 7.2 | 7.2.0–7.2.12 | 7.2.13 or later |
| FortiAnalyzer | 8.0 | 8.0.0–8.0.1 | 8.0.2 or later |
| FortiAnalyzer | 7.6 | 7.6.0–7.6.7 | 7.6.8 or later |
| FortiAnalyzer | 7.4 | 7.4.0–7.4.11 | 7.4.12 or later |
| FortiAnalyzer | 7.2 | 7.2.0–7.2.12 | 7.2.13 or later |
| FortiMail | 8.0 | 8.0.0–8.0.1 | 8.0.2 or later |
| FortiMail | 7.6 | 7.6.0–7.6.6 | 7.6.7 or later |
| FortiMail | 7.4 | 7.4.0–7.4.8 | 7.4.9 or later |
| FortiMail | 7.2 | 7.2.0–7.2.9 | Upgrade to the 7.4 branch or later |
| FortiAuthenticator | 8.0 | 8.0.0–8.0.3 | 8.0.4 or later |
| FortiAuthenticator | 6.6 | 6.6.0–6.6.10 | 6.6.11 or later |
Fortinet は、11月10日に PSIRT ページで正式なセキュリティ・アドバイザリを公開する予定である。
同社の通知によると、FortiSASE に対しては、今回の一斉リリースに先立って自動的にアップデートが適用される。FortiManager Cloud のアップデートには手動による操作が必要になる場合があり、パブリック・クラウド環境でのアップデートは、各クラウド・プロバイダーのリリース手順に従って実施される。
ファームウェアの提供開始から、脆弱性の詳細を公開するまでの間に、時間的な猶予を設けることで、顧客は余裕を持ってアップグレードを完了できる。ただし、これはインターネットに公開されたデバイスに関しては、11 月までアップデートを先送りできるわけではない。Fortinet は、技術的な詳細の公開を待つのではなく、アップデートが提供され次第、適用するよう明確に求めている。
PHP と Node.js のセキュリティ更新によるパッチ適用の負担増
今回の警告は、PHP および Node.js のセキュリティ・アップデートと時期が重なっている。ただし、これらは別個の問題であり、Fortinet の脆弱性に関連するコンポーネントとして確認されたものではない。
PHP は 10月21日に、PHP2Shell と呼ばれる CVE-2026-109618／CVE-2026-109619 に対する緊急パッチを公開した。いずれも、認証なしでリモート・コード実行 (RCE) を可能にする脆弱性である。
一方は、メモリ枯渇により不完全なリクエストデータが残存する問題であり、もう一方は、メモリ解放後も古いリクエストの状態が残存する問題である。
Cybersecurity News のPHP2Shell に関する報告では、さまざまなサーバ構成におけるリスクが説明されている。
修正済みの PHP バージョンは、8.5.12／8.4.27／8.3.36／8.2.35 である。また、PHP Foundation は、これらの脆弱性の調査において、AI の活用が貢献した状況についても説明している。
これとは別に、Node.js のセキュリティ・アップデートは、深刻度 High の 4 件を含む、計 10 件の脆弱性に対処している。脆弱性 CVE-2026-111497 は、Brotli の解凍処理に影響する欠陥であり、メモリの境界外書き込みによるコード実行を引き起こす恐れがある。
その他の深刻度 High の修正には、TLS のホスト名検証バイパス／DNS 名の切り詰めなどの問題が含まれる。影響を受けるサポート対象のブランチは、26.x／24.x／22.x である。
Fortinet が推奨するのは、インターネットからアクセス可能なシステムを特定し、設定のバックアップを取得した上で、10月22日～23日に緊急のメンテナンス時間を確保することである。
セキュリティチームにとって必要なことは、パッチ適用前後のログを確認した上で、管理者アカウントによる不審なアクセスや、許可されていない設定変更を調査することだ。
直ちにアップグレードできない場合には、HTTPS および SSH による管理アクセスを信頼できる IP アドレスに限定する必要がある。その上で、FortiManager の管理インターフェイスをインターネットから直接アクセスできないようにし、アカウントごとに固有のパスワードと多要素認証 (MFA) を適用すべきである。
これらの対策により、攻撃を受ける可能性を低減できるが、セキュリティ・アップデートの適用に代わるものではない。
この記事は、Fortinet が提供する FortiOS や FortiManager などの主要製品における一斉更新とセキュリティ対策について解説するものです。AI 活用検査により発見された高深刻度の不備や差分解析による悪用リスクが背景に存在します。影響として、装置の不正制御や外部からの攻撃チェーン構築が生じる恐れがあります。対応策として、対象機器の管理アクセス制限／構成情報の保存／最新版への早期引き上げが求められます。
You must be logged in to post a comment.