CVE の正式な記録の公開前です
セキュリティの情報源の記事に出た番号をもとに載せています。番号や内容が変わることがあります。CVE.org・NVD に記録が公開されたら、内容をそれに置き換えます。
FortiOSなど8件の重大な脆弱性、修正版を公開
FortiOS・FortiManager・FortiAnalyzerで、Fortinetが重大な脆弱性8件を修正したと報じられ、CVE-2026-126170はCVSS 9.8です。該当製品を使う組織は、まず稼働中の版を洗い出し、Fortinetの告知で修正版を確認します。
急ぎ度: 早めに
CVSS 9.8の重大な脆弱性で、境界や管理の要になる製品が対象に含まれ、修正版も出ているため、悪用の報告を待たずに更新を進める段階です。
関係があるか
FortiGateのOSであるFortiOSのほか、FortiManagerやFortiAnalyzerを運用している組織が確認の対象です。ファイアウォールやVPNに使う機器、複数台を一括管理する管理サーバー、ログの収集基盤を持つ会社が当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| FortiOS | この脆弱性がFortiOSにも及ぶと報じられています。対象の版はFortiの告知で確認が必要です。 | 修正版は公開されたと報じられています。版番号はFortiの告知で確認が必要です。 |
| FortiManager | 今回修正された8件の重大な脆弱性に含まれる製品です。CVE-2026-126170との対応や対象の版は、Fortiの告知で確認が必要です。 | 修正版の版番号はFortiの告知で確認が必要です。 |
| FortiAnalyzer | 今回修正された8件の重大な脆弱性に含まれる製品です。CVE-2026-126170との対応や対象の版は、Fortiの告知で確認が必要です。 | 修正版の版番号はFortiの告知で確認が必要です。 |
確かめ方
- 1社内にあるFortiGate、FortiManager、FortiAnalyzerを、設置場所や委託先の持ち物も含めて台数ごとに洗い出します。
- 2各機器のCLIで稼働中の版を確認し、Fortinetの告知にある対象版と照らし合わせます。
- 3管理画面やVPNの入口がインターネットに公開されている機器があれば、更新の優先度を上げます。
何が起きたか
Fortinetは2026年11月10日ごろ、FortiOS・FortiManager・FortiAnalyzerの重大な脆弱性8件を修正したと報じられました。CVE-2026-126170はその一つで、深刻度はCVSS 9.8、重大度はcriticalです。見出しでは、この脆弱性がFortiOSにも及ぶとされています。
8件それぞれの脆弱性の種類や、悪用されたときに具体的に何が起きるかは、報道では十分に示されていません。CVE-2026-126170がどの製品のどの版に当たるかを含め、詳細はFortinetの告知で確認します。
どう悪用されるか
悪用の条件は、現時点の報道からは判断できません。認証の要否、ネットワーク上のどこから届くか、利用者の操作が要るかは、Fortinetの告知で確認が必要です。
CVSS 9.8は、一般にはネットワーク経由で認証なしに大きな影響が出る場合に付くことの多い値です。ただしこの脆弱性が実際にそうだとは言い切れないため、告知の記載で自社の構成に当てはまるかを見極めます。
今すぐやること
-
1
稼働中の版を洗い出す
FortiGate、FortiManager、FortiAnalyzerの全台について、機器名・設置場所・版を一覧にします。管理画面やVPNをインターネットに公開している機器には印を付けます。
get system status -
2
Fortinetの告知で対象と修正版を確認する
FortiGuard PSIRTのアドバイザリでCVE-2026-126170を探し、対象製品・対象版・修正版・回避策の有無を確認します。8件が別々の版にまたがる場合は、すべてを直せる版を更新先に選びます。
-
3
公開されている機器から修正版へ更新する
インターネットから管理画面やVPNに届く機器を先に更新し、続いて管理サーバーとログ基盤を更新します。再起動を伴う場合は、冗長構成の切り替え手順を前もって決めておきます。
-
4
更新の前後で管理者アカウントと設定を点検する
身に覚えのない管理者アカウントの追加、設定の変更、不審なログインの履歴がないかを調べます。公表直後ですが、更新が遅れた機器ほど入念に見ておくと安心です。
背景
FortiOSはFortiGateの基盤となるOSで、ファイアウォールやVPNの入口として社内ネットワークとインターネットの境目に置かれます。FortiManagerは多数のFortiGateの設定とポリシーを一括で管理し、FortiAnalyzerは各機器のログを集めて分析します。今回はこの3製品がまとめて修正されたため、境界の防御、設定の管理、ログの保管という役割の異なる機器を同じ時期に確認することになります。
FortiOSでは、これまでもVPNや管理画面に関わる脆弱性が公表され、一部は実際の攻撃で悪用されました。インターネットに面した機器は、公表後に修正版を当てるまでの期間が短いほど、リスクを抑えやすくなります。
よくある質問
Q.FortiGateを使っています。FortiOSの話として確認すればよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
CVE-2026-126170 (CVSS 9.8). Fortinet critical vulnerabilities also hit FortiOS. Related Posts: Microsoft Outlook Zero-Day
(Security Online: Fortinet Patches Eight Critical Flaws in FortiOS, FortiManager and FortiAnalyzer)
出典: Security Online NVD