Fortinetは現地時間2026年11月10日、同社のUTM機器に搭載されるOS「FortiOS」について、8件の脆弱性を公表した。このうち3件は、4段階の重要度で最も高い「クリティカル」に分類されている。同社はセキュリティアドバイザリを公開し、利用者に注意を呼びかけた。
「CVE-2026-126259」は、冗長機能の認証処理に不備がある脆弱性。FGSPと設定同期を組み合わせた構成、またはオートスケール構成では、細工されたHAパケットを送られると、認証なしで最上位の管理者権限によるコマンド実行が可能になるとしている。
「CVE-2026-126254」は、BGPデーモンの数値の切り詰め処理に起因する。設定済みのiBGPピアから細工された属性が送られた場合、接続先のルータに不正な属性が伝播するおそれがある。
また、OSPFデーモンでは、認証を回避できる「CVE-2026-126253」が確認された。細工されたリクエストにより、認証を受けずにLSA（リンク状態広告）を送信できるという。
MARBLEの対応例：この件の場合
MARBLEは、FortiOSを搭載したUTM機器の利用状況と構成をまず確かめる。
- FortiOSを搭載したUTM機器を利用しているか確かめる
- 機器を導入した会社に、FortiOSのバージョンと脆弱性の影響を確かめる
- FGSPと設定同期、オートスケール、iBGPやOSPFの利用状況を導入した会社に確かめる
- 必要な更新や設定対応を機器を導入した会社に確かめる
関係するサービス
※金額は一例です。システムの構成や規模、作業の範囲によって変わります。
出典
Security NEXT「「FortiOS」に複数の脆弱性 - 3件が重要度「クリティカル」」（2026年11月11日）
この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。
