FortiManagerに認証不要のコード実行の脆弱性、修正版あり
FortiManagerに、認証なしでFGFM用のポートへ届く相手がコードやコマンドを実行できる脆弱性が見つかり、修正版が出ました。FGFMポートの到達範囲を確認し、7.2.9・7.4.6・7.6.8・8.0.1以降へ更新してください。
急ぎ度: 早めに
CVSS v3は9.0で認証も不要ですが、Fortinetは悪用を確認しておらず、すべての対象系統に修正版が出ています。
関係があるか
FortiManager 7.2・7.4・7.6・8.0の各系統を運用している組織が対象です。FortiGateなどを一元管理している企業や、管理サービスを提供する事業者は、FGFMのポートがどこから届くかを先に確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| FortiManager 8.0 | 8.0.0 | 8.0.1以降 |
| FortiManager 7.6 | 7.6.0〜7.6.7 | 7.6.8以降 |
| FortiManager 7.4 | 7.4.0〜7.4.5 | 7.4.6以降 |
| FortiManager 7.2 | 7.2.0〜7.2.8 | 7.2.9以降 |
| FortiAnalyzer 4.0 | 4.0.0（7.2・7.4・7.6・8.0の各系統は影響なし） | 修正版への移行（移行先の版番号は告知に記載なし） |
確かめ方
- 1FortiManagerの管理画面のダッシュボード、またはCLIで版を確認し、上の表と照らし合わせます。
- 2FortiManagerの前段にあるファイアウォールやクラウドのセキュリティグループで、FGFM用のポートがどの送信元に開いているかを確認します。
- 3インターネット側など、管理対象の機器以外から届く設定になっていないかを見ます。
何が起きたか
FortiManagerのFGFM（FortiGateとFortiManagerが管理のためにやりとりする仕組み）に、権限の確認が不十分な脆弱性があります。FGFMのポートに届く相手が細工したパケットを送ると、認証なしでコードやコマンドを実行できる可能性があります。
Fortinetは2026年11月10日に告知を公開しました。CWEはCWE-285（不適切な認可）で、重大度はCritical、CVSS v3は9.0です。告知の題は「FGFM elevation before registration password is verified」で、登録パスワードの検証より前に権限が引き上げられる点が問題とされています。
Fortinetは、悪用は確認されていない（Known Exploited: No）としています。発見したのはFortinet社内のProduct Securityチームで、AIモデルのClaude Mythosを使った調査で見つかったと告知にあります。
攻撃の流れ
-
1
ポートに到達
攻撃者がネットワーク経由でFortiManagerのFGFM用ポートに届く位置にいる。
-
2
細工した通信
認証を済ませないまま、細工したFGFMパケットを送る。
-
3
権限確認の不備
登録パスワードの検証より前に、本来は許されない処理が通る。
-
4
コード実行
FortiManager上で不正なコードやコマンドが実行される。
どう悪用されるか
攻撃にログインは要りません。利用者の操作も要らず、ネットワーク経由で成立します。必要なのは、攻撃者がFortiManagerのFGFM用ポートに届くことだけです。CVSSの評価では、攻撃の難しさは低いとされています。
成功すると、FortiManager上で任意のコードやコマンドが実行されます。機密性・完全性・可用性への影響はいずれも高い評価です。FortiManagerは管理下の機器の設定を握る装置なので、保存されている構成情報や、管理下の機器への波及まで想定して調べるのが無難でしょう。
今すぐやること
-
1
稼働中のFortiManagerの版を確認する
対象の版に当たるかを、本番・検証・待機機の全台で確認します。台帳に載っていない検証機や、事業部が個別に立てた機器も見落とさないようにします。
get system status -
2
同じ系統の修正版へ更新する
7.2・7.4・7.6・8.0の各系統で、告知にある修正版以降へ上げます。更新前に設定のバックアップを取り、管理下の機器との接続が更新後も保たれるかを確認します。FortiAnalyzer 4.0.0を使っている場合は、修正版への移行を計画します。
-
3
FGFMポートの到達範囲を絞る
更新の順番に関係なく、FGFMのポートが管理対象の機器以外から届かないようにします。インターネットに開いている場合は、更新を待たずに先に絞ってください。
-
4
侵害の跡がないかを調べる
公表直後で悪用は確認されていませんが、FGFMポートが外部に開いていた機器では、見覚えのない接続元、想定外の管理者アカウント、身に覚えのない設定変更がないかをログで見ます。
すぐ更新できないとき
すぐに更新できないときは、ファイアウォールやACLで、FGFMのポートへの接続を管理対象のFortiGateなどの送信元アドレスだけに限ります。これはつなぎの対策です。告知に仮想パッチ（Virtual Patch）の提供はなく、根本的な対応は修正版への更新です。
背景
FortiManagerは、多数のFortiGateのポリシー、設定、ファームウェアを一か所から配る管理サーバーです。管理下の機器とはFGFMで通信するため、FGFMのポートは管理される側の機器から届く必要があり、その分、受け付ける範囲の設計がそのまま安全性に直結します。
FortiManagerのFGFM側の脆弱性では、2024年10月に公表されたCVE-2024-47575が、実際の攻撃で悪用された例として広く知られています。今回のCVEはそれとは別のもので、両者の関係は告知に書かれていません。ただ、管理機器に届く通信路が狙われた前例がある以上、FGFMの到達範囲の点検は、更新と同時に済ませる価値があります。
よくある質問
Q.FGFMのポートを塞ぐと、FortiGateの管理は止まりますか？
まだ分かっていないこと
- FortiAnalyzer 4.0.0の移行先として、具体的にどの版が修正版にあたるかは告知に書かれていません。
- FortiManagerの7.0以前の系統が影響を受けるかどうかは、告知の一覧に載っていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| FortinetFortiManager |
7.6.0 〜 7.6.7→ 記載なし 7.4.0 〜 7.4.5→ 記載なし 7.2.0 〜 7.2.8→ 記載なし |
記載なし 記載なし 記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A improper authorization vulnerability in Fortinet FortiManager 8.0.0, FortiManager 7.6.0 through 7.6.7, FortiManager 7.4.0 through 7.4.5, FortiManager 7.2.0 through 7.2.8 may allow an unauthenticated attacker that can reach the FGFM port to execute code or commands via crafted FGFM packets.
出典: CVE.org (CVE Program・cvelistV5) NVD