FortiOSの脆弱性3件、悪用未確認で修正版あり
FortiOSにCVSS v3が9.0〜9.6の脆弱性3件が公表されました。認証なしで悪用される恐れのあるものを含みます。BGP・OSPF・HA構成のFortiGateなどの管理者は、版を確認して修正版へ更新してください。
同じ発表の脆弱性 3 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-126254 重大 9.6
- CVE-2026-126253 重大 9.3
- CVE-2026-126259 重大 9.8
急ぎ度: 早めに
3件ともCVSS v3は9.0以上で、うち2件は認証なしで悪用でき、修正版も出ていますが、Fortinetは最も重い1件について悪用を確認していないとしています。
関係があるか
FortiOSの8.0・7.6・7.4・7.2系（3件のうち2件は7.0系も）を動かす機器が対象です。BGPやOSPFによる動的ルーティング、HA構成を使っている拠点やデータセンターの境界機器は、とくに先に確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| FortiOS 8.0 | 8.0.0から8.0.1（3件のうち、HA経由でコマンドを実行される脆弱性は8.0.0のみ） | 8.0.2以降 |
| FortiOS 7.6 | 7.6.0から7.6.7 | 7.6.8以降 |
| FortiOS 7.4 | 7.4.0から7.4.12 | 7.4.13以降 |
| FortiOS 7.2 | 7.2.0から7.2.13 | 7.2.14以降 |
| FortiOS 7.0 | 7.0.0または7.0.1から7.0.19（LSAとHAの2件が該当） | Fortinetの告知で確認してください |
| FortiSASE(BGPの1件のみ) | 25.1、25.1.a、25.2、25.3、25.4、26.1、26.2のすべての版 | 修正済みの版へ移行します。26.3.1と26.3.1_aは26.3.2で修正済みで、利用者の対応は不要です。24.4以前の各版は影響を受けません。 |
確かめ方
- 1管理画面のダッシュボードか、CLIの
get system statusでFortiOSの版を確認し、上の表の範囲に入るかを見てください。 - 2CLIで
show router bgp、show router ospf、get system ha statusなどを実行し、iBGPネイバー、OSPF、HA（FGSPやautoscale）を使っているかを確認してください。使っている機器は更新の優先度を上げます。 - 3FortiSASEを契約している場合は、利用中の版が26.2以前かどうかをFortinetのポータルで確認してください。
何が起きたか
FortiOSのルーティングとHAの通信処理に、重大な脆弱性が3件見つかりました。悪用されると、経路情報への不正な介入、サービス拒否、スーパー管理者としてのコマンド実行といった被害が起こり得ます。Fortinetは11月10日に告知を公開しました。
- CVE-2026-126254: bgp daemonの数値の切り捨てエラー（CWE-197）で、iBGPネイバーから細工した属性が接続先の全ルーターへ送られ、サービス拒否につながる（CVSS v3は9.6）
- CVE-2026-126253: 認証の回避（CWE-305）で、認証なしの攻撃者が細工したリクエストでLSAを配信できる（CVSS v3は9.3）
- CVE-2026-126259: 重要な機能に認証がない（CWE-306）ため、認証なしの攻撃者が細工したHAパケットでスーパー管理者としてコマンドを実行できる（CVSS v3は9.0）
CVE-2026-126254については、Fortinetの告知に「Known Exploited: No」とあり、悪用は確認されていません。この件はFortinetの製品セキュリティチームが社内で見つけたもので、告知には、発見にAIモデルのClaude Mythosを使ったと書かれています。ほかの2件の悪用状況は、Fortinetの告知で確認してください。
攻撃の流れ
-
1
構成の前提
iBGPネイバー、OSPF、HA（FGSPやautoscale）など、対象の機能が有効な機器が狙われる。
-
2
細工した通信
細工したリクエスト、属性、HAパケットが機器に届く。
-
3
検証の欠如
数値の切り捨てや認証の欠落により、不正な入力がそのまま処理される。
-
4
被害の発生
経路情報への介入、サービス拒否、スーパー管理者としてのコマンド実行が起こり得る。
どう悪用されるか
3件で悪用の条件が違います。
CVE-2026-126254は、ネットワーク経由で、低い権限が必要です（CVSS v3のベクターはPR:L）。Fortinetの告知でも攻撃の種類は認証済みで、設定済みのiBGPネイバーが悪意ある属性を送る形です。利用者の操作は要りません。影響は同じネットワーク内の接続先ルーターにも及び、Fortinetは影響をサービス拒否としています。
CVE-2026-126253は認証が要りません。細工したリクエストでLSAを配信され、ルーティングの経路情報に不正な介入を受ける恐れがあります。
CVE-2026-126259も認証が要りませんが、HAのFGSPとstandalone-config-syncを併用している構成か、autoscale構成が前提です。細工したHAパケットでスーパー管理者としてコマンドを実行され、機器の乗っ取りにつながり得ます。
今すぐやること
-
1
版と構成を確認する
FortiOSの版が対象範囲に入るか、BGP・OSPF・HAを使っているかを確認します。境界のFortiGateやHAクラスターの機器から順に調べると効率的です。
get system status -
2
修正版へ更新する
8.0系は8.0.2以降、7.6系は7.6.8以降、7.4系は7.4.13以降、7.2系は7.2.14以降へ更新します。これはCVE-2026-126254の告知に書かれた修正版です。更新の経路は、Fortinetのアップグレードパスツールで確認してください。HAクラスターは、構成機器を順に更新する手順を事前に決めておくと、停止を抑えられます。
-
3
7.0系とほかの2件の修正版を確認する
7.0系を使っている場合は、7.0系の修正版の有無と移行先を、FortinetのFortiGuard PSIRTの告知で確認してください。CVE-2026-126253とCVE-2026-126259の修正版も、同じ告知で突き合わせます。
-
4
FortiSASEの版を確認する
FortiSASEが26.2以前なら、修正済みの版への移行を計画します。26.3.1と26.3.1_aは26.3.2で修正済みなので、対応は不要です。
-
5
更新後に異常がないか見る
更新の前後で、管理者アカウントの追加、設定変更、ルーティングテーブルの不審な変化がないかをログで確認します。
すぐ更新できないとき
Fortinetの告知では、CVE-2026-126254に対する仮想パッチ（Virtual Patch）は「No」です。更新までのつなぎとして、iBGPネイバー、OSPF、HA同期の通信ができる相手を管理下の機器に限り、使っていない機能は無効にしてください。これらは暫定の緩和策で、脆弱性そのものはなくなりません。ほかの回避策の有無は、Fortinetの告知で確認してください。
背景
FortiOSは、FortiGateなどのFortinet機器で動くOSです。ファイアウォールやVPNに加え、BGPやOSPFによる動的ルーティング、HAによる冗長化も受け持ちます。拠点間や社内外の境界に置かれることが多く、ここの経路情報や管理者権限を握られると、被害が個別のサーバーにとどまらず、通信全体に広がります。
今回の3件はいずれも、管理画面ではなく、ルーティングやHAといった機器どうしの通信を処理する部分にあります。通常は信頼できる相手としかやり取りしない前提の通信なので、設定が緩いと攻撃の入口になります。
よくある質問
Q.BGPやHAを使っていなければ、更新しなくてよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| FortinetFortiOS |
8.0.0 〜 8.0.1→ 記載なし 7.6.0 〜 7.6.7→ 記載なし 7.4.0 〜 7.4.12→ 記載なし 7.2.0 〜 7.2.13→ 記載なし |
記載なし 記載なし 記載なし 記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A numeric truncation error vulnerability in Fortinet FortiOS 8.0.0 through 8.0.1, FortiOS 7.6.0 through 7.6.7, FortiOS 7.4.0 through 7.4.12, FortiOS 7.2.0 through 7.2.13 may allow a configured ibgp neighbor to send malicious/malformed attributes to all connected routers via a specially crafted request
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt@fortinet.com
- web nvd.nist.gov
- web github.com