FortiOS のヒープバッファオーバーフローで任意コード実行（CVSS 9.8・KEV・是正期限 2026-09-12）

Critical（CVSS 9.8）に分類されるFortinet Fortinet FortiOS（FortiGate ファイアウォールの OS）および FortiSwitchManager。CISA KEV は FortiSASE も対象に挙げている。の脆弱性です。**評価が2つに割れている点から見るべきである。** | 評価元 | CVSS | 判定 | ベクタ | |---|---|---|---| | **NVD (nvd@nist.gov・Primary)** | **9.8** | Critical | AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H | | Fortinet (psirt@fortinet.com・Secondary) | 8.1 | High | AV:N / **AC:H** / PR:N / UI:N / S:U / C:H / I:H / A:H | **違いは攻撃条件の複雑さ (AC) 1項目だけである。**Fortinet は「高い（AC:H）」、NVD は「低い（AC:L）」と見ている。ヒープオーバーフローの悪用にはメモリ配置の把握が要るので Fortinet の見方にも理由はあるが、**CISA が KEV に載せたということは、現実に悪用が成立している**ということである。本サイトは Primary 評価の **9.8** を採る。 NVD の記述はこうである。「Fortinet FortiOS 7.6.0〜7.6.3、7.4.0〜7.4.8、7.2.0〜7.2.11、7.0.0〜7.0.17、FortiOS 6.4 全版、FortiSwitchManager 7.2.0〜7.2.6、7.0.0〜7.0.5 における**ヒープベースのバッファオーバーフロー**により、攻撃者が**細工したパケット経由で**許可されていないコードまたはコマンドを実行できる」。 **「細工したパケット経由で」という一句が、この CVE の性格を決めている。**HTTP リクエストでも管理画面へのログインでもなく、パケットである。**認証は要らない（PR:N）し、利用者の操作も要らない（UI:N）。**FortiGate がその通信を受け取る位置にあれば、それだけで条件が揃う。 **FortiOS 6.4 は「全版」が対象である。**バージョン範囲の上限が書かれていない、つまり**修正版が無い**ということである。6.4 系はすでにサポートの終端にあり、この系列を使い続ける限りこの穴は塞がらない。 **悪用の実態は具体的に報告されている。**NVD の参照には SOCRadar による「PivotC2 / FortiGate RAT」の記事が並んでおり、**侵害された FortiGate に常駐する遠隔操作ツール**の存在が示されている。**Siemens も ProductCERT のアドバイザリ (SSA-864900) を出している**、つまり産業制御の文脈でも影響が評価されている。 **公開は 2026-01-13、KEV 収載は 2026-09-09、是正期限は 2026-09-12 である。**8か月前の脆弱性が、いま緊急の期限を切られている。

**FortiOS を修正版へ更新する。**対象範囲は次のとおりで、**上限が書かれている系列は、その上のリリースが修正版である**。 - FortiOS **7.6** … 7.6.0〜**7.6.3** が対象 - FortiOS **7.4** … 7.4.0〜**7.4.8** が対象 - FortiOS **7.2** … 7.2.0〜**7.2.11** が対象 - FortiOS **7.0** … 7.0.0〜**7.0.17** が対象 - FortiOS **6.4** … **全版が対象（修正版は無い）** - FortiSwitchManager **7.2** … 7.2.0〜**7.2.6** が対象 - FortiSwitchManager **7.0** … 7.0.0〜**7.0.5** が対象 **正確な修正版ビルドと、Fortinet が案内する回避策は FG-IR-25-084 で確認すること。**このページは Cloudflare の検証が入るため本稿の執筆時点（2026-09-10）に自動取得できなかった。**確認できていない数字をここに書くことはしない。** **6.4 系を使っている場合、やることは1つしかない。**修正版が存在しないので、**7.x 系へ移行する**以外に対応は無い。移行の計画が立つまでの間は、**その FortiGate が受け取るパケットの範囲を物理的・論理的に狭める**しかない。これは修正ではなく延命である。 **FortiSASE は Fortinet が運用する SaaS で、利用者側の更新作業は無い。**KEV は対象に挙げているが、修正の適用主体は Fortinet である。 **更新の前後で、侵害されていないかを見る。**SOCRadar が報告している RAT の常駐が事実である以上、「パッチを当てたから終わり」にはできない。 - 設定 (`show full-configuration`) の差分。とくに**管理者アカウント・admin プロファイル・自動スクリプト・VPN 設定**の予期しない追加 - **外向きの常時接続**（C2 への通信）。FortiGate 自身が発信元になっている通信を見る - クラッシュログ (`diagnose debug crashlog read`)。ヒープオーバーフローの失敗試行はクラッシュとして残ることがある **同じ 2026-09-12 期限で、Cisco Secure FMC（CVE-2026-20079・CVSS 10.0）と Citrix NetScaler（CVE-2026-19490・CVSS 9.3）も KEV 入りしている。**境界に置く3社の装置が同時に名指しされた形である。**どれか1つを直して安心する状況ではない。**自組織の境界に何が並んでいるかを、この機会に棚卸ししたほうがよい。

Fortinet Fortinet FortiOS（FortiGate ファイアウォールの OS）および FortiSwitchManager。CISA KEV は FortiSASE も対象に挙げている。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://fortiguard.fortinet.com/psirt/FG-IR-25-084）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/12 です。早急な対応が推奨されます。