情報取得日: 2026/08/19／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-68686 |
|---|---|
| 製品 | Fortinet / FortiOS 6.4 全版 / 7.0 全版 / 7.2 全版 / 7.4.0〜7.4.6 / 7.6.0〜7.6.1（修正は 7.4.7 / 7.6.2） |
| CVSS | 5.9（Medium） CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS は当サイトの掲載基準（7.0以上）を下回りますが、CISA KEV に収載され実際の悪用が確認されているため掲載しています。 |
| 種別 (CWE) | CWE-200 認可されていない主体への機微情報の露出 |
| 登録／公開日 | 2026/08/19 |
| KEV 期限 | 2026/08/10 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-68686 |
FortiOS で、侵害後にシンボリックリンクを使って居座る手口に対して開発されたパッチを、未認証の遠隔攻撃者が細工した HTTP リクエストで回避できる。NVD の記述で重要なのは前提条件の明示で、「An attacker would need first to have compromised the product via another vulnerability, at filesystem level」— 攻撃者はまず別の脆弱性でファイルシステムレベルまで侵害している必要がある。つまりこれは初期侵入の欠陥ではなく、既に入られたあとの居座りを維持させてしまう欠陥である。CVSS は Fortinet（psirt@fortinet.com）が CVSS 3.1 で 5.9 Medium（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N）を付けており、NVD の Primary スコアは未付与。当サイトの掲載基準（CVSS 7.0 以上）を下回るが、CISA KEV に収載されている（2026-07-27 収載・是正期限 2026-08-10）ため、KEV 収載でスコア基準未満の扱いとして掲載する。実際に悪用が確認されている以上、スコアの数字で優先度を下げるべきではない。対象は FortiOS 6.4 全版、7.0 全版、7.2 全版、7.4.0〜7.4.6、7.6.0〜7.6.1 で、NVD の CPE では 6.4.0 以上 7.4.7 未満、および 7.6.0 以上 7.6.2 未満。修正版は 7.4.7 と 7.6.2 である。ランサムウェア利用は Unknown（不明）。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
対象外（AWS のマネージドサービスに修正対象は無い）
FortiGate の仮想アプライアンスを EC2 上で運用している場合は、そのインスタンスの FortiOS を 7.4.7 / 7.6.2 以降へ更新する。AWS Network Firewall は対象ではない。
参照リンク
|
| GCP | 対象外 |
対象外（GCP のマネージドサービスに修正対象は無い）
Compute Engine 上の FortiGate 仮想アプライアンスを更新する。
参照リンク
|
| Azure | 対象外 |
対象外（Azure のマネージドサービスに修正対象は無い）
Azure 上の FortiGate 仮想アプライアンスを更新する。Azure Firewall は対象ではない。
参照リンク
|
| Linux | 対象外 |
対象外（FortiOS は Fortinet の専用 OS で、ディストリのセキュリティ更新では上がらない）
Linux 側で確認すべきことは、FortiGate の管理インタフェースへ到達できる範囲である。管理面を管理セグメントに閉じておくと、侵害後の操作の幅を狭められる。
参照リンク
|
この CVE で最初に理解すべきなのは、「CVSS 5.9 だから急がない」という読み方が成立しないことである。スコアが低いのは、単体では初期侵入に使えないためであって、危険が小さいからではない。前提となる侵害が既に起きている場合、この欠陥は攻撃者の居座りを維持させる。つまりこれは「パッチを当てたのに、なぜか再び侵入される」という現象の説明になりうる欠陥である。したがって対応の順序が普通と逆になる。通常は更新してから点検するが、ここでは更新と点検を同時に進める必要がある。更新だけでは既に置かれたシンボリックリンクは消えないためである。手順は3段になる。第一に、FortiOS のバージョンを確認する。6.4 系・7.0 系・7.2 系は全版が対象なので、これらを使っている場合は無条件で該当する。7.4 系は 7.4.7 以降、7.6 系は 7.6.2 以降であることを確認する。第二に、過去に侵害の疑いがあったかを確認する。Fortinet のアドバイザリ（FG-IR-25-934）が示す侵害の痕跡と、自組織のインシデント記録を突き合わせる。過去に FortiOS 関連の侵害を経験している組織は、この欠陥によって「対応したはずの居座り」が残っている可能性を前提に点検する。第三に、ファイルシステム上のシンボリックリンクを点検する。この手口は Web が公開するディレクトリから設定ファイルへリンクを張る形を取るため、Web の公開領域から外へ出るリンクの有無を見る。組込みのアプライアンスなので調査手段は限られ、詳細な調査はベンダーサポートの手を借りることになる。KEV の是正期限 2026-08-10 は既に経過している。期限超過の状態が続いているなら、その理由（更新の計画がない / 検証環境が無い / 保守契約が切れている）を明示して、代替の緩和策と併せて記録に残すこと。完了条件は、（1）全 FortiOS が 7.4.7 / 7.6.2 以降であること、（2）過去に侵害の疑いがあった機器のファイルシステム点検が済んでいること、（3）機器に保存されていた資格情報・証明書・VPN の事前共有鍵を再発行済みであることの3点である。
Medium（CVSS 5.9）に分類されるFortinet FortiOS 6.4 全版 / 7.0 全版 / 7.2 全版 / 7.4.0〜7.4.6 / 7.6.0〜7.6.1（修正は 7.4.7 / 7.6.2）の脆弱性です。FortiOS で、侵害後にシンボリックリンクを使って居座る手口に対して開発されたパッチを、未認証の遠隔攻撃者が細工した HTTP リクエストで回避できる。NVD の記述で重要なのは前提条件の明示で、「An attacker would need first to have compromised the product via another vulnerability, at filesystem level」— 攻撃者はまず別の脆弱性でファイルシステムレベルまで侵害している必要がある。つまりこれは初期侵入の欠陥ではなく、既に入られたあとの居座りを維持させてしまう欠陥である。CVSS は Fortinet（psirt@fortinet.com）が CVSS 3.1 で 5.9 Medium（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N）を付けており、NVD の Primary スコアは未付与。当サイトの掲載基準（CVSS 7.0 以上）を下回るが、CISA KEV に収載されている（2026-07-27 収載・是正期限 2026-08-10）ため、KEV 収載でスコア基準未満の扱いとして掲載する。実際に悪用が確認されている以上、スコアの数字で優先度を下げるべきではない。対象は FortiOS 6.4 全版、7.0 全版、7.2 全版、7.4.0〜7.4.6、7.6.0〜7.6.1 で、NVD の CPE では 6.4.0 以上 7.4.7 未満、および 7.6.0 以上 7.6.2 未満。修正版は 7.4.7 と 7.6.2 である。ランサムウェア利用は Unknown（不明）。
この CVE で最初に理解すべきなのは、「CVSS 5.9 だから急がない」という読み方が成立しないことである。スコアが低いのは、単体では初期侵入に使えないためであって、危険が小さいからではない。前提となる侵害が既に起きている場合、この欠陥は攻撃者の居座りを維持させる。つまりこれは「パッチを当てたのに、なぜか再び侵入される」という現象の説明になりうる欠陥である。したがって対応の順序が普通と逆になる。通常は更新してから点検するが、ここでは更新と点検を同時に進める必要がある。更新だけでは既に置かれたシンボリックリンクは消えないためである。手順は3段になる。第一に、FortiOS のバージョンを確認する。6.4 系・7.0 系・7.2 系は全版が対象なので、これらを使っている場合は無条件で該当する。7.4 系は 7.4.7 以降、7.6 系は 7.6.2 以降であることを確認する。第二に、過去に侵害の疑いがあったかを確認する。Fortinet のアドバイザリ（FG-IR-25-934）が示す侵害の痕跡と、自組織のインシデント記録を突き合わせる。過去に FortiOS 関連の侵害を経験している組織は、この欠陥によって「対応したはずの居座り」が残っている可能性を前提に点検する。第三に、ファイルシステム上のシンボリックリンクを点検する。この手口は Web が公開するディレクトリから設定ファイルへリンクを張る形を取るため、Web の公開領域から外へ出るリンクの有無を見る。組込みのアプライアンスなので調査手段は限られ、詳細な調査はベンダーサポートの手を借りることになる。KEV の是正期限 2026-08-10 は既に経過している。期限超過の状態が続いているなら、その理由（更新の計画がない / 検証環境が無い / 保守契約が切れている）を明示して、代替の緩和策と併せて記録に残すこと。完了条件は、（1）全 FortiOS が 7.4.7 / 7.6.2 以降であること、（2）過去に侵害の疑いがあった機器のファイルシステム点検が済んでいること、（3）機器に保存されていた資格情報・証明書・VPN の事前共有鍵を再発行済みであることの3点である。
Fortinet FortiOS 6.4 全版 / 7.0 全版 / 7.2 全版 / 7.4.0〜7.4.6 / 7.6.0〜7.6.1（修正は 7.4.7 / 7.6.2） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-68686）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/10 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。