KEV
Fortinetが提供する複数のネットワーク管理製品（FortiOS、FortiPAM、FortiProxy、FortiSwitchManager）において、パス・トラバーサルの脆弱性が確認された。本脆弱性は、米国CISAの「既知の悪用された脆弱性カタログ（KEV）」に登録されており、実際の攻撃キャンペーンにおいて悪用されている事実があるため、極めて重大な脅威と見なされる。特定のCLIコマンドを実行可能な環境において、管理者プロファイルかつ読み書き権限を持つ認証済みの攻撃者が、システム内の任意のファイルを書き換え、あるいは削除することが可能となる。CISA は米国の連邦政府機関に、2026年10月19日までの対応を求めている。
なぜご自身の組織で確認すべきか自組織のFortinet製品において、CISA KEVに登録された既知の悪用脆弱性が存在しないか確認し、速やかに修正対応を適用する必要があるため。
影響
認証済みの攻撃者によってシステム上の任意のファイルが書き換えまたは削除される恐れがあり、システムの完全性が損なわれたり、サービスが停止したりする可能性がある。
対応策
ベンダーの公開情報: https://fortiguard.fortinet.com/psirt/FG-IR-26-122
