ISSコラム

本記事は、11月6日に公開したコラム「FortiGate管理者へ：11月10日（Patch Tuesday）に詳細公開。更新が間に合うのは今週までです」の続編です。
前回は、Fortinetが10月21～22日に修正版を配布し、「CVE番号や詳細は11月10日にFortiGuard PSIRTで公開される」ことをお伝えしました。本記事で解説するのは、その11月10日に公開された脆弱性の内容です。
 

Fortinetは2026年11月10日、FortiOS、FortiManager、FortiAnalyzerなどの脆弱性情報を一斉に公開しました。深刻度が「Critical」で、認証なしで攻撃できるものも含まれます。その多くは、Fortinet自身がAIモデルを使って社内で発見したものです。

今回は公開の順番が異例でした。修正版は約3週間前の10月22日にすでに配布され、脆弱性の詳細（CVE番号や攻撃条件）だけが11月10日まで伏せられていました。つまり、詳細が公開された11月10日は、攻撃者が攻撃方法を組み立てやすくなった日でもあります。10月の更新をまだ当てていなければ、今すぐ対応が必要です。

本コラムでは、FortiGuard PSIRTの公式アドバイザリで確認できた情報だけを整理します。

前回コラムの答え合わせ：大枠はそのまま、ただし重要な例外が1つ

前回は報道をもとに修正版と対応をご案内し、「公式アドバイザリでの確認が必要」とお断りしていました。11月10日の公式アドバイザリと照らし合わせた結果は次のとおりです。

前回「詳細公開後は差分解析で攻撃が作られやすくなる」とお伝えした状況が、まさに今です。前回の手順で更新を済ませた方も、FortiManager・FortiAnalyzerの7.4系・7.2系を使っている場合は注意が必要です。

Criticalの脆弱性：管理製品は認証なしでコード実行の恐れ

FortiGuard PSIRTで確認できた、FortiOS・FortiManager・FortiAnalyzerのCriticalの脆弱性は次の6件です。いずれも11月10日の公開時点で「悪用は確認されていない（Known Exploited: No）」とされています。
 

特に危険なのは、FortiManagerとFortiAnalyzerの3件です。管理用の通信ポート（OFTP、FGFM）に届く攻撃者なら、認証なしでコードを実行できる恐れがあります。これらは、多数のFortiGateを一括管理する「司令塔」にあたる製品です。

FortiOSの3件は、BGP、OSPF、HAを使っているかどうかで影響が変わります。OSPFの脆弱性は隣接ネットワークからの攻撃が前提ですが、認証は不要です。

修正版

注意： FGFMの脆弱性（CVE-2026-126261）は、FortiManager・FortiAnalyzerの7.4系と7.2系が「全バージョンが影響を受け、修正版への移行が必要」とされています。7.4.12や7.2.13に更新してもこの脆弱性は解消しないため、7.6.8以降または8.0.1以降への移行を計画してください。詳細はアドバイザリで確認できます。

同日には、FortiAuthenticator（Criticalを含む多数）やFortiMail（Criticalを含む）のアドバイザリも公開されています。これらの製品を使っている場合は、あわせて確認してください。

悪用状況：現時点で確認なし。ただし「修正の差分」から攻撃を作られる恐れ

11月10日の公開時点で、上記6件はいずれも「悪用は確認されていない」とされています。ただし、Fortinet自身のCVSS評価では、一部に攻撃コードの存在が示されています。BGPの脆弱性（CVE-2026-126254）は「実用的な攻撃コードあり（E:F）」、OSPF（CVE-2026-126253）とSQLインジェクション（CVE-2026-126262）は「概念実証コードあり（E:P）」です。

公開までの経緯

Fortinetは、修正版を先に配り、詳細の公開を遅らせた理由を次のように説明しています。攻撃者はAIを使えば、修正前後のコードを比べて数時間から数日で攻撃方法を作れる。そのため、防御側が先に更新できる時間を作るという考えです（Cybersecurity News）。

一方で、詳細を伏せても攻撃者は修正版の差分を解析できるという指摘もあります。セキュリティ企業watchTowrの研究者は、これらの製品は過去にも悪用されてきた価値の高い標的であり、すぐに解析されるだろうと警告しています（Cybernews）。

「悪用未確認」は「安全」という意味ではありません。最新の悪用状況は、CISA KEVカタログやFortiGuard PSIRTで確認してください。

なぜ重大なのか：入口と司令塔、そしてAIによる発見の加速

今回の公開には、3つの意味で重みがあります。

1. ネットワークの入口と司令塔が対象： FortiGate（FortiOS）は社内ネットワークの入口、FortiManagerは複数のFortiGateの設定を一括管理する司令塔です。司令塔を取られると、配下の機器すべてに影響が及びます。
2. 認証なしで攻撃できる： FortiManager・FortiAnalyzerの3件は、管理用ポートに届けば認証なしでコード実行に至る恐れがあります。管理ポートをインターネットに公開していれば、そのまま標的になります。
3. AIで脆弱性の発見が加速している： 今回確認したアドバイザリの多くは、Fortinetの社内チームがAnthropicのAIモデル「Claude Mythos」を使って発見したと記載されています。防御側がAIで大量の脆弱性を見つけられるなら、攻撃側も同じことができます。修正から悪用までの時間は、今後さらに短くなると考えるべきです。

Microsoftが11月2日に公表した分析では、ネットワーク機器の修正にかかる期間の中央値は1年を超えています（ITmedia）。「次の保守作業で当てる」という運用では、間に合いません。

実務者が今すぐやるべきこと

「外から届くものから先に」が原則です。

☐ バージョンを確認する： FortiOS、FortiManager、FortiAnalyzerが10月22日の修正版以降か確認する。FortiManager CloudやFortiAnalyzer Cloudを使っている場合も、各アドバイザリで対象かどうかと必要な対応を確認する。
 ☐ インターネットに面した機器から更新する： Fortinet自身も、外部公開されている機器を最優先にするよう求めています。前回のコラムと同じく、設定をバックアップしてから、FortiManager・FortiAnalyzerを管理下のFortiGateより先に更新してください。
☐ FortiManager・FortiAnalyzerの7.4系・7.2系は移行を計画する： FGFMの脆弱性（CVE-2026-126261）は、この系列内の更新では解消しません。7.6.8以降または8.0.1以降への移行が必要です。
☐ 管理ポートを外に出さない： FortiManager・FortiAnalyzerのOFTP・FGFM・管理画面をインターネットに公開していないか、外部からの攻撃面調査で確認する。公開が必要な場合は、接続元IPを制限する。前回ご案内した暫定策（管理アクセスの信頼できるIPへの限定、管理者の多要素認証、管理通信の分離）は引き続き有効ですが、更新の代わりにはなりません。
☐ 自社の構成で影響を判断する： FortiOSでBGP、OSPF、HA（FGSPのstandalone-config-syncまたはautoscale）を使っているか確認する。HAの脆弱性には、仮想パッチ（FG-VD-61445.0day）も用意されています。
☐ 侵入されていないか確認する： 10月22日以降も更新できていなかった機器は、管理者アカウントの追加、設定の変更、不審な外部通信がないかログを確認する。
☐ 保守委託先に確認する： FortiGateやFortiManagerの運用を委託している場合は、更新済みかどうかと、更新予定日を書面で確認する。

まとめ

前回のコラムで「更新が間に合うのは今週まで」とお伝えした期限は、すでに過ぎました。修正版は10月22日から出ています。11月10日に詳細が公開された今、未更新の機器は「攻撃方法が分かっている機器」になりました。特にFortiManagerとFortiAnalyzerは、管理ポートに届けば認証なしで攻撃される恐れがあります。バージョンの確認、外部公開の有無の確認、侵入の痕跡の確認を、今週中に終えてください。

インターネットセキュアサービス株式会社（ISSKK）では、外部から見える管理インターフェースの洗い出し、ネットワーク機器を含む脆弱性診断・ペネトレーションテスト、侵害の痕跡調査、ISMSにおける脆弱性管理の仕組みづくりを支援しています。Fortinet製品の更新状況や公開状況が気になる方は、お気軽にご相談ください。

※本記事は2026年11月10日時点の公開情報に基づいています。対象バージョンは脆弱性ごとに異なるため、必ず各アドバイザリを確認してください。

・出典

前回のコラム：FortiGate管理者へ：11月10日（Patch Tuesday）に詳細公開。更新が間に合うのは今週までです（ISSコラム、2026年11月6日）

• FG-IR-26-276：CVE-2026-126262（FortiGuard PSIRT、11月10日）
• FG-IR-26-275：CVE-2026-126261（FortiGuard PSIRT、11月10日）
• FG-IR-26-274：CVE-2026-126260（FortiGuard PSIRT、11月10日）
• FG-IR-26-268：CVE-2026-126254（FortiGuard PSIRT、11月10日）
• FG-IR-26-267：CVE-2026-126253（FortiGuard PSIRT、11月10日）
• FG-IR-26-273：CVE-2026-126259（FortiGuard PSIRT、11月10日）
• Fortinet Products Multiple Vulnerabilities（HKCERT、10月23日）
• Fortinet Urges Customers to Patch Critical Flaws（Cybersecurity News）
• Fortinet critical patches out three weeks before CVEs（Cybernews）
• 脆弱性38万件のうち悪用されたのは約0.5%（ITmedia エンタープライズ）
• CISA Known Exploited Vulnerabilities Catalog