ISSコラム

何が起きているのか

Fortinetは2026年10月22日、FortiOS、FortiManager、FortiAnalyzerの修正版を公開しました（FortiMailとFortiAuthenticatorは前日の10月21日）。AIを使った製品テストで見つかった、深刻度「重大（Critical）」および「高（High）」の脆弱性が含まれています。

異例なのは、CVE番号やCVSSスコア、脆弱性の詳細がまだ公表されていないことです。詳細は11月10日にFortiGuard PSIRTで公開される予定です。つまり、現時点では「何が直されたのか」が分からないまま、更新を判断する必要があります。

対象製品と修正版

※修正版は報道（Cyber Kendra、SecurityOnline、IoT OT Security Newsなど複数媒体）に基づく情報です。適用前に、必ずFortinetの公式アドバイザリで対象バージョンを確認してください。

「まだ詳細が出ていないから大丈夫」ではない理由

Fortinet自身が、これらの更新を「通常の定期メンテナンスの一つとして扱わないでほしい」と呼びかけています。理由は次の3点です。
 

1. パッチ差分解析（パッチ・ディフィング）。修正前後のコードを比較すれば、脆弱性の場所を特定できます。watchTowrの研究者は、詳細公表までの約3週間は攻撃者に有利だと警告しています。
2. AIによる解析の高速化。Fortinetは、AIの活用により、公開から悪用までの期間が数時間〜数日にまで縮まり得ると述べています。
3. 低深刻度の弱点の連鎖。AIを使えば、深刻度の低い複数の弱点を組み合わせて、より深刻な攻撃に発展させられる可能性があるとも指摘されています。

現時点では、今回の脆弱性が実際に悪用されたという報告はありません。しかしこれは「安全」を意味しません。公開から日が浅いうえ、詳細が出る11月10日以降は、攻撃者が一斉に動く可能性があります。

参考として、報道によれば、10月1日に修正されたFortiMailの脆弱性CVE-2026-104286（CVSS 9.8）は、すでに悪用が確認され、CISAのKEVに追加されています。

今週中にやるべきこと

1. 棚卸し：FortiOS／FortiManager／FortiAnalyzerの台数とバージョンを洗い出し、インターネットに公開されているものを最優先にします。
2. バックアップ：更新前に設定をバックアップします。
3. 更新順序：FortiManagerとFortiAnalyzerを、管理対象のFortiGateより先に更新します。
4. ログ確認：更新の前後で、管理者の不審なログインや、身に覚えのない設定変更がないかを確認します。すでに侵害されている場合、パッチだけでは足りません。
5. 既知の不具合の確認：報道では、深層検査（deep inspection）有効時に8443などの非標準ポートのHTTPSサイトで ERR_EMPTY_RESPONSE が出る問題（Bug 1353958）や、FortiGate 7000Fシャーシで7.2.13から7.4.13への更新が失敗する問題（Bug 1349258）が挙げられています。検証環境で確認してから本番に適用してください。

すぐに更新できない場合の暫定対策

• HTTPSおよびSSHの管理アクセスを、信頼できるIPアドレスに限定する（または外部インターフェースで無効化する）。
• FortiManagerの管理画面を、インターネットから遮断する。
• すべての管理者にMFAを適用し、管理者ごとに固有のパスワードを使う。
• 管理通信を、アウトオブバンドのネットワークへ移行する。
   

Fortinetは、これらは露出を減らすだけで、更新の代替にはならないと明言しています。

まとめ：「詳細公開の前」が、守る側に残された時間

11月10日に詳細が公開されれば、世界中の攻撃者と研究者が同時に動き始めます。守る側が主導権を持てるのは、その前の数日間だけです。診断の現場でも、「脆弱性が公開されてから対応を始める」運用では間に合わなくなっています。今週中に棚卸しと更新を終え、管理インターフェースの公開範囲を見直してください。自社環境の点検や、更新後の確認診断のご相談があれば、お気軽にご連絡ください。
 

参考情報

• Fortinet Patches AI-Found Flaws in FortiOS, FortiManager（Cyber Kendra）
• Fortinet critical patches out three weeks before CVEs（Cybernews）
• Fortinet Security Updates Fix AI-Found FortiOS Flaws（SecurityOnline）
• FortiOS／FortiManager／FortiAnalyzer におけるパッチ適用スケジュール（IoT OT Security News）

※本稿は報道記事に基づく下書きです。CVE番号・CVSS・対象範囲は11月10日にFortiGuard PSIRTで公表予定のため、公開前にFortinet公式アドバイザリで確認し、必要に応じて本文を更新してください。「Fortinet製品は過去に短期間で攻撃対象になってきた」という記述は一般的な傾向としての表現であり、公開前に具体例（CVE等）での裏付けを推奨します。