情報取得日: 2026/10/16・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-61624 |
|---|---|
| 製品 | Fortinet / FortiOS / FortiPAM / FortiProxy / FortiSwitchManager |
| CVSS | 6.5（Medium） CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H CVSS は当サイトの掲載基準（7.0以上）を下回りますが、CISA KEV に収載され実際の悪用が確認されているため掲載しています。 |
| 種別 (CWE) | CWE-22 パストラバーサル |
| 登録／公開日 | 2026/10/16 |
| KEV 期限 | 2026/10/19 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-61624 |
**Fortinet の FortiOS・FortiPAM・FortiProxy・FortiSwitchManager の CLI に、パス名の制限が不十分な欠陥がある。** Fortinet のアドバイザリ FG-IR-26-122（2026年4月14日公開・社内発見）によれば、管理者プロファイルで少なくとも読み書き権限を持つ認証済みの攻撃者が、特定の CLI コマンドに細工した引数を渡すと、任意のファイルを書き込んだり消したりでき、権限昇格につながる。 **評価値は低いが、悪用は確認済み。** CVSS 3.1 は Fortinet が **6.0 Medium**（AV:L）、NVD が **6.5 Medium**（AV:N/PR:H）。高い権限が前提なので点数は低いが、Fortinet はアドバイザリで悪用を確認済みとしており、CISA は2026年10月16日に KEV へ収載した（是正期限 **2026年10月19日**）。ランサムウェアでの利用は「不明」。このため本サイトの掲載基準（KEV 収載）で載せている。 **実際の使われ方。** Palo Alto Networks の Unit 42 は2026年10月14日の記事で、FortiManager の CVE-2024-47575 で侵入した攻撃者（CL-STA-0954、別名 UNC5820）が、FortiOS の `system.auto-script` のオブジェクト名が検証されない点を突き、`../` を含む名前でスクリプトを所定の場所の外に置いて root に昇格し、PEERSTITCH というローダを置いたと報告している。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
AWS 上の FortiGate-VM / FortiProxy などは、FortiOS 7.6.5 / 7.4.10 以上（FortiProxy は 7.6.5 / 7.4.12 以上）へ上げる。7.2 以前の系列は修正のある系列へ移る。管理インターフェースはセキュリティグループで到達元を絞る。
AWS から本 CVE 個別の速報は確認できていない（2026-10-17 時点）。AWS 側の対処では直らない。
参照リンク
|
| GCP | ベンダーFW更新 |
GCP 上の FortiGate-VM などは修正版へ上げ、管理インターフェースはファイアウォールルールで到達元を絞る。
GCP から本 CVE 個別の速報は確認できていない（2026-10-17 時点）。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure 上の FortiGate-VM などは修正版へ上げ、管理インターフェースは NSG で到達元を絞る。
Azure から本 CVE 個別の速報は確認できていない（2026-10-17 時点）。
参照リンク
|
| Linux | 対象外 |
対象外（Fortinet の専用 OS・装置の欠陥であり、Linux ディストリの更新対象ではない）。
Ubuntu USN / Red Hat RHSA / Debian security tracker には載らない。
参照リンク
|
**修正版に上げる。** FG-IR-26-122 の修正版は次のとおり（いずれも「以上」）。 - **FortiOS**: 7.6.5 / 7.4.10（7.2・7.0・6.4 は全版が対象で、修正のある系列へ移行） - **FortiProxy**: 7.6.5 / 7.4.12（7.2・7.0 は修正のある系列へ移行） - **FortiPAM**: 1.7.1（1.0〜1.6 は修正のある系列へ移行。1.8 は対象外） - **FortiSwitchManager**: 7.2.8 / 7.0.7 Fortinet は回避策を示していない。アドバイザリには FMWP データベース 25.120 の仮想パッチ（FG-VD-59270.0day）が挙がっている。 **管理者権限が前提なので、管理面を固める。** 悪用には読み書き権限のある管理者アカウントが要る。Unit 42 の事例では、別の欠陥（FortiManager の CVE-2024-47575）で入り込んだ攻撃者が昇格に使っている。管理インターフェースをインターネットに出さない、使っていない管理者アカウントを消す、管理者の認証情報を入れ替える、を合わせて行う。 **侵害の確認。** Unit 42 の報告に沿えば、`system.auto-script` に `../` を含む名前のオブジェクトが無いか、身に覚えのない自動スクリプトが無いかを確かめる。KEV の要求アクションは CISA の「Forensics Triage Requirements」に従うことを求めている。 **完了条件**は、（1）全ての該当装置が修正版以上であること（修正の無い系列は移行済みであること）、（2）管理者アカウントと自動スクリプトの棚卸しを済ませたこと、の2点である。
Medium（CVSS 6.5）に分類されるFortinet FortiOS / FortiPAM / FortiProxy / FortiSwitchManagerの脆弱性です。**Fortinet の FortiOS・FortiPAM・FortiProxy・FortiSwitchManager の CLI に、パス名の制限が不十分な欠陥がある。** Fortinet のアドバイザリ FG-IR-26-122（2026年4月14日公開・社内発見）によれば、管理者プロファイルで少なくとも読み書き権限を持つ認証済みの攻撃者が、特定の CLI コマンドに細工した引数を渡すと、任意のファイルを書き込んだり消したりでき、権限昇格につながる。 **評価値は低いが、悪用は確認済み。** CVSS 3.1 は Fortinet が **6.0 Medium**（AV:L）、NVD が **6.5 Medium**（AV:N/PR:H）。高い権限が前提なので点数は低いが、Fortinet はアドバイザリで悪用を確認済みとしており、CISA は2026年10月16日に KEV へ収載した（是正期限 **2026年10月19日**）。ランサムウェアでの利用は「不明」。このため本サイトの掲載基準（KEV 収載）で載せている。 **実際の使われ方。** Palo Alto Networks の Unit 42 は2026年10月14日の記事で、FortiManager の CVE-2024-47575 で侵入した攻撃者（CL-STA-0954、別名 UNC5820）が、FortiOS の `system.auto-script` のオブジェクト名が検証されない点を突き、`../` を含む名前でスクリプトを所定の場所の外に置いて root に昇格し、PEERSTITCH というローダを置いたと報告している。
**修正版に上げる。** FG-IR-26-122 の修正版は次のとおり（いずれも「以上」）。 - **FortiOS**: 7.6.5 / 7.4.10（7.2・7.0・6.4 は全版が対象で、修正のある系列へ移行） - **FortiProxy**: 7.6.5 / 7.4.12（7.2・7.0 は修正のある系列へ移行） - **FortiPAM**: 1.7.1（1.0〜1.6 は修正のある系列へ移行。1.8 は対象外） - **FortiSwitchManager**: 7.2.8 / 7.0.7 Fortinet は回避策を示していない。アドバイザリには FMWP データベース 25.120 の仮想パッチ（FG-VD-59270.0day）が挙がっている。 **管理者権限が前提なので、管理面を固める。** 悪用には読み書き権限のある管理者アカウントが要る。Unit 42 の事例では、別の欠陥（FortiManager の CVE-2024-47575）で入り込んだ攻撃者が昇格に使っている。管理インターフェースをインターネットに出さない、使っていない管理者アカウントを消す、管理者の認証情報を入れ替える、を合わせて行う。 **侵害の確認。** Unit 42 の報告に沿えば、`system.auto-script` に `../` を含む名前のオブジェクトが無いか、身に覚えのない自動スクリプトが無いかを確かめる。KEV の要求アクションは CISA の「Forensics Triage Requirements」に従うことを求めている。 **完了条件**は、（1）全ての該当装置が修正版以上であること（修正の無い系列は移行済みであること）、（2）管理者アカウントと自動スクリプトの棚卸しを済ませたこと、の2点である。
Fortinet FortiOS / FortiPAM / FortiProxy / FortiSwitchManager を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-61624）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/19 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。