FortiClientにコード実行の脆弱性、修正版あり
FortiClientのMac版とWindows版に、外部の攻撃者がコードやコマンドを実行できる脆弱性が公表され、修正版も出ています。社員のパソコンに入れている組織は、使っている版を洗い出し、系統ごとの修正版へ更新してください。
急ぎ度: 早めに
CVSS v3は9.1で重要度はCriticalですが、Fortinetの告知では既知の悪用は「No」で、修正版がすでに出ているため、実際の攻撃が確認される前に更新を終えるのが筋です。
関係があるか
社員のMacやWindowsパソコンにFortiClientを入れている組織が対象です。8.0系は影響を受けず、7.4系と7.2系を使っている端末が更新の対象になります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| FortiClientMac | 7.4.0から7.4.7まで（7.2系と8.0系は影響なし） | 7.4.8以上 |
| FortiClientWindows | 7.4.0から7.4.7まで、および7.2.0から7.2.14まで（8.0系は影響なし） | 7.4系は7.4.8以上、7.2系は7.2.15以上 |
| FortiClientWindowsPAM | 7.4.0から7.4.7まで、および7.2.0から7.2.14まで（8.0系は影響なし）。CVEの記録には7.4.7と7.2.14だけが載っていますが、Fortinetの告知は各系統の全版を対象にしています | 7.4系は7.4.8以上、7.2系は7.2.15以上 |
確かめ方
- 1資産管理ツールなどで、FortiClientが入っている端末と版を一覧にします。
- 2Windowsでは、PowerShellで導入済みの版を確認できます（下のコマンド例）。Macではアプリケーション情報からFortiClientの版を見ます。
- 3版が7.4.0から7.4.7、または7.2.0から7.2.14に当たれば対象です。FortiClientWindowsPAMも同じ範囲で確認します。8.0系なら今回の対象外です。
何が起きたか
FortiClientのMac版、Windows版、Windows PAM版に、外部の攻撃者がコードやコマンドを実行できてしまう脆弱性が見つかりました。Fortinetが2026年11月10日に告知し、同日に修正版を出しています。
原因は、FortiClientがパソコン内で用意しているローカルAPIの入り口で、要求の発信元（オリジン）を正しく確認していないことです。分類はCWE-346で、Fortinetは影響を権限昇格と位置づけています。
発見者はBaldur SecurityのKevin Joensen氏で、責任ある開示の手順でFortinetに報告されました。
攻撃の流れ
-
1
利用者に操作させる
攻撃者は、被害者になる利用者に何らかの操作をさせます。
-
2
ローカルAPIへ要求
端末上のFortiClientのローカルAPIに、発信元の確認をすり抜けた要求が届きます。
-
3
コードやコマンドの実行
攻撃者が意図したコードやコマンドが、端末上で実行されます。
-
4
端末の乗っ取り
機密性・完全性・可用性のすべてに影響が及び、権限が昇格するおそれがあります。
どう悪用されるか
攻撃者は認証を必要とせず、ネットワーク経由で仕掛けられます。ただし成立には、被害者になる利用者の操作が要ります。どんな操作かまでは告知にありません。
CVSSのベクターでは、攻撃の複雑さは低く、影響範囲が変わる（スコープ変更）とされています。成功すると、機密性・完全性・可用性のすべてが高い影響を受ける想定です。攻撃コードの成熟度は、ベクター上は概念実証の段階（P）です。
今すぐやること
-
1
対象端末と版を洗い出す
FortiClientが入っているMac・Windowsの端末を、版とあわせて一覧にします。PAM版を使っている環境も含めます。
Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object DisplayName -like "*FortiClient*" | Select-Object DisplayName, DisplayVersion -
2
系統ごとの修正版に更新する
7.4系と7.2系の端末は、それぞれの修正版へ更新します。7.2系のMacは対象外なので更新は要りません。Windows版とPAM版の7.2系は、7.4系とは別の修正版が必要です。
-
3
更新後に版を再確認する
配布が完了したと報告を受けた端末でも、実際の版が修正版以上になっているかを確認します。長期間オフラインだった端末や、持ち出しパソコンは更新が漏れやすいので、先に当たります。
-
4
最新の告知を確認する
Fortinet PSIRTのFG-IR-26-194で、修正版や対象範囲の更新がないかを見ておきます。
すぐ更新できないとき
Fortinetの告知に回避策の記載はなく、仮想パッチも提供されていません。更新が済むまでのつなぎとして、利用者に身に覚えのないリンクや依頼を開かないよう周知し、対象端末の挙動を監視してください。
背景
FortiClientは、社員のパソコンに入れて使うクライアントソフトです。社内ネットワークへの接続や端末の保護に使われることが多く、台数が多い分、更新が全端末に行き渡るまでに時間がかかります。サーバー機器と違って利用者が日常的にメールやWebを使う端末で動いているため、利用者の操作が要る攻撃でも、現実の入口になりえます。
ローカルAPIは、端末の中のアプリ同士が連携するための窓口です。本来は端末内のアプリだけが使う想定ですが、Webページなど外からの要求が届くことがあるため、要求がどこから来たかを確認する仕組みが欠かせません。今回のCWE-346は、その確認が不十分なときに当たる分類です。
よくある質問
Q.LinuxやiOS、Androidのクライアントも更新が必要ですか。
Q.FortiGateなどの機器側も更新が必要ですか。
まだ分かっていないこと
- ローカルAPIのどの機能が悪用されるのか、利用者のどんな操作が必要なのかは、告知に書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| FortinetFortiClientMac |
7.4.0 〜 7.4.7→ 記載なし |
記載なし |
| FortinetFortiClientWindows |
7.4.0 〜 7.4.7→ 記載なし 7.2.0 〜 7.2.14→ 記載なし |
記載なし 記載なし |
| FortinetFortiClientWindowsPAM | — | 記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A origin validation error vulnerability in Fortinet FortiClientMac 7.4.0 through 7.4.7, FortiClientWindows 7.4.0 through 7.4.7, FortiClientWindows 7.2.0 through 7.2.14, FortiClientWindowsPAM 7.4.7, FortiClientWindowsPAM 7.2.14 may allow an unauthorized remote attacker to execute unauthorized code or commands. Successful exploitation requires interaction with the victim.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web fortiguard.fortinet.com
- web nvd.nist.gov
- web github.com