JPCERT/CCは、複数のFortinet製品に脆弱性があると公表した。対象はネットワーク機器やセキュリティアプライアンスなどで、権限昇格や情報漏えい、サービス妨害などにつながる可能性がある。この問題は、Fortinetが提供する修正済みバージョンへ更新することで解決するとされている。
脆弱性の詳細
JPCERT/CCは、複数のFortinet製品に複数の脆弱性が存在すると公表した。脆弱性の内容は製品や項目により異なり、攻撃者が細工したリクエストや特定の操作を行うことで、本来想定されていない権限での操作、情報の取得、サービス停止などの影響が生じる可能性がある。攻撃経路（攻撃ベクタ）も、機器の管理インタフェースや通信機能など、製品の用途に応じて変わり得る。
注意：JPCERT/CCのWeekly Reportでは、当該項目についてCVE番号およびCVSSスコアの詳細な列挙は行われていない。そのため本記事では、JPCERT/CCが当該ページで明示している範囲を超えてCVE/CVSSを推定して記載しない。各脆弱性のCVE番号・CVSSスコアを確認する必要がある場合は、JPCERT/CCが参照を促している開発者（Fortinet）が提供するセキュリティアドバイザリやドキュメントを確認することが推奨される。
JPCERT/CCによると、これらの脆弱性が悪用された場合、外部からの侵入の足掛かりになったり、内部不正やなりすましと組み合わさって被害が拡大したりするおそれがある。インターネットに公開されている機器や、更新が止まっている運用環境では、影響を受けやすい点に留意が必要である。
影響を受ける製品・バージョン
- JPCERT/CCは「複数のFortinet製品」が対象であると公表しているが、Weekly Reportでは個別の製品名やバージョンの詳細を列挙していない。影響範囲の特定には、Fortinetが公開する各製品向けセキュリティアドバイザリやリリースノートを参照し、自組織で利用している製品名・バージョンとの突き合わせを行うことが必要である。
推奨される対策
- 修正版の適用：JPCERT/CCは、Fortinetが提供する修正（アップデート）を適用するよう注意喚起している。まずは該当製品のバージョンを確認し、ベンダーが示す修正済みバージョンへ更新する。更新に際しては、Fortinetが提供する導入手順や既知の問題に関する情報を確認したうえで計画的に実施する。
- 影響範囲の最小化：管理画面や管理用サービスを不用意に外部公開しないことが重要である。可能な範囲で、管理アクセス元を社内ネットワークやVPN接続環境など信頼できる経路に限定し、インターネットから直接アクセスできる構成を避ける。
- 暫定的な回避策：パッチ適用まで時間がかかる場合、Fortinetが提供するセキュリティアドバイザリや技術情報に従い、当該機能の無効化・設定変更などの回避策を検討する。JPCERT/CCは、ベンダーが提示する回避策や推奨設定を参照するよう呼び掛けている。
- 監視とログ確認：脆弱性対応に際しては、更新前後に管理ログ・通信ログを確認し、不審な管理操作や想定外の通信がないか点検することが重要である。特に、管理者アカウントによる不審なログイン試行や設定変更履歴、外部からの異常な通信パターンなどを継続的に監視する。
日本の中小企業が今すぐ取るべき行動
- 優先1：社内・拠点・在宅接続で使っているFortinet製品の有無（機器・仮想アプライアンス・管理製品）を棚卸しし、型番と現在のバージョンを一覧化する。FortiGateなどのファイアウォール製品だけでなく、VPNゲートウェイ、Webアプリケーションファイアウォール、集中管理ツールなども対象に含める。
- 優先2：該当する製品について、ベンダーが示す修正済みバージョンへの更新計画を立て、保守ベンダーまたはSIerに適用可否と停止時間を確認する。サービス影響を最小限にするため、メンテナンス時間帯や冗長構成の切り替え手順も事前に整理しておく。
- 優先3：管理画面への到達経路を点検し、外部公開の有無、許可IP、VPN必須化、管理用アカウントの棚卸し（退職者・共有ID）を今週中に是正する。特に、中小企業では共有アカウントや運用上の暫定設定が残りやすいため、利用者・権限を明確化し、不要なアカウントを削除する。
- 優先4：更新前後で、管理ログの保存設定と参照手順を整備し、異常があれば切り分け（ベンダー連絡、機器隔離、パスワード変更）を実施できる体制にする。インシデント発生時に備え、ログの保管期間やバックアップ方針も合わせて見直す。
CSRIからの現場アドバイス
実際のペネトレーションテストでは、拠点ルータやUTMの管理画面が「一時的」のつもりで外部に開放されたまま、更新も止まっている例が見つかる。診断報告書でよく指摘されるのが、保守切れ・担当不在でパッチ適用が後回しになる運用だ。
例えるなら、会社の裏口のカギが古いままで、合鍵の管理も曖昧な状態に近い。つまり、外から試される回数が増えるほど、突破される確率が上がるということだ。機器が止まる・情報が抜かれる前に、更新と入口の制限が必要になる。
まずFortinet製品の型番とバージョンを画面や台帳で確認し、更新対象かを整理する。次に保守ベンダーへ「修正版の適用可否と作業手順」を依頼し、作業日程を確定する。同時に管理画面の公開範囲を見直し、社内ネットワークまたはVPN接続のみに限定する。これらを継続的な運用タスクとして位置付けることで、脆弱性悪用のリスクを大きく低減できる。