FortiAuthenticatorの脆弱性2件、認証回避の修正版あり
FortiAuthenticatorの8.0系と6.6系に、認証を回避して不正アクセスを許す重大な脆弱性が2件公表されました。社内の認証基盤として使っている組織は、版を確認して修正版への更新を進めてください。
同じ発表の脆弱性 2 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-126251 重大 9.1
- CVE-2026-126257 重大 9.0
急ぎ度: 早めに
認証なしで悪用でき、CVSS v3は9.1と9.0ですが、Fortinetは悪用を確認しておらず修正版も出ているため、早めの更新が妥当です。
関係があるか
FortiAuthenticatorを、RADIUSやSAMLなどの認証サーバーとして社内で運用している組織が対象です。2件とも、影響する版の範囲は同じです。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| FortiAuthenticator 8.0 | 8.0.0から8.0.3 | 8.0.4以上 |
| FortiAuthenticator 6.6 | 6.6.0から6.6.10 | 6.6.11以上 |
確かめ方
- 1FortiAuthenticatorの管理画面にログインし、ダッシュボードのシステム情報で現在の版を確認する。
- 28.0.0から8.0.3、または6.6.0から6.6.10に当てはまれば、2件とも影響を受ける。
- 3資産台帳で、仮想アプライアンス版を含めた台数を洗い出す。複数台を運用している場合は、1台ずつ版を控える。
何が起きたか
FortiAuthenticatorに、認証の仕組みをすり抜けて不正にアクセスされる脆弱性が2件見つかりました。Fortinetは2026年11月10日に告知しており、2件とも8.0.0から8.0.3と6.6.0から6.6.10が対象です。
- CVE-2026-126251: 認可の確認が不十分で、認証を回避した不正アクセスを許します（CVSS v3は9.1）
- CVE-2026-126257: ハードコードされたパスワードが使われており、資格情報の検証を回避した不正アクセスを許します（CVSS v3は9.0）
Fortinetの告知では、CVE-2026-126251の問題があるのはAPIの部分です。攻撃の種類は認証不要、影響は権限の昇格とされています。同社のProduct Securityチームが社内で見つけて報告したもので、外部からの報告によるものではありません。
攻撃の流れ
-
1
到達
攻撃者がFortiAuthenticatorに接続できる位置を得る。
-
2
認証の回避
認可の不備や固定パスワードにより、正規の認証を通らずに通過する。
-
3
不正アクセス
認証されていない状態のまま、本来は認証が必要な機能にアクセスする。
-
4
被害
設定やデータの改ざん、サービスの停止につながり、この認証基盤に頼るシステムにも波及する。
どう悪用されるか
CVE-2026-126251は、認証が不要で、ネットワーク経由で攻撃でき、利用者の操作も要りません。攻撃の複雑さも低いとされています。CVSSのベクトルでは、機密性への影響はなく、完全性と可用性への影響が高いと評価されています。つまり、設定やデータの書き換えと、サービスの停止が主な被害です。
CVE-2026-126257も、認証なしで悪用される点は同じです。ただし、攻撃者の制御が及ばない特定の状況が重なったときに、資格情報の検証を回避できるとされています。条件が限られる分、CVE-2026-126251より悪用しにくい可能性はあります。それでもCVSS v3は9.0と高く、同じ版に同居している以上、更新は2件まとめて考えるのが現実的です。
今すぐやること
-
1
稼働中の版を確認する
管理画面で、8.0系か6.6系か、そして版が影響範囲に入るかを台数分確認します。
-
2
修正版へ更新する
8.0系は8.0.4以上、6.6系は6.6.11以上に更新します。この版はCVE-2026-126251の告知にある修正版です。CVE-2026-126257についても同じ版で修正されるかは、FortiGuardのPSIRT（FG-IR-26-265とは別の告知がないか）で確認してください。
-
3
更新の影響を事前に洗い出す
VPNや無線LAN、各種システムのログインがこの認証サーバーに頼っている場合は、更新時の再起動に備えて停止の時間帯を決め、関係部署に知らせておきます。
-
4
更新の前後で操作の記録を見る
身に覚えのない管理操作、設定の変更、認証の失敗や成功の急増がないかをログで確認します。Fortinetは悪用を確認していないと告知していますが、完全性に影響する脆弱性であるため、念のため見ておく価値があります。
すぐ更新できないとき
Fortinetの告知には、回避策の記載がありません。更新までのつなぎとして、FortiAuthenticatorの管理画面やAPIに届く通信元を、管理用ネットワークと認証を使う機器に絞り、インターネットから直接届かないようにしておくと、攻撃を受ける機会を減らせます。これはFortinetが案内した回避策ではなく、一般的な露出を減らす対策です。
背景
FortiAuthenticatorは、Fortinetが提供する認証サーバーです。RADIUSやLDAP、SAMLによるシングルサインオン、2要素認証、証明書の管理などを受け持ち、FortiGateなどの機器やVPN、無線LANのログインを一か所で判定します。認証を担う機器で回避の脆弱性が出ると、その機器が守っているシステム全体の入口が崩れるため、一般のサーバーより影響が広がりやすい製品です。
ハードコードされたパスワードは、製品のコードに同じ値が埋め込まれているため、一度見つかると同じ版のすべての機器に通用する点が厄介です。CVE-2026-126251は、Fortinetの告知によると、同社のProduct Securityチームが、AIモデルClaude Mythosを使って社内で発見しました。認証基盤の脆弱性を、公表前に製造元自身が見つけて直せた例といえます。
よくある質問
Q.FortiGateやFortiOSも同時に更新が必要ですか。
Q.IPSの仮想パッチで防げますか。
まだ分かっていないこと
- CVE-2026-126257で認証が回避される特定の状況が、具体的にどのようなものか。
- Fortinetが、CVE-2026-126251の告知に回避策を載せていないこと。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| FortinetFortiAuthenticator |
8.0.0 〜 8.0.3→ 記載なし 6.6.0 〜 6.6.10→ 記載なし |
記載なし 記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A incorrect authorization vulnerability in Fortinet FortiAuthenticator 8.0.0 through 8.0.3, FortiAuthenticator 6.6.0 through 6.6.10 may allow an attacker to bypass authentication and gain unauthorized access.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web fortiguard.fortinet.com
- web nvd.nist.gov
- web github.com