フォーティネット、FortiOSなどの脆弱性詳細を一斉公開　深刻度「クリティカル」が3件

　フォーティネットは11月10日、FortiOS、FortiManager、FortiAnalyzerなどの脆弱性について、詳細とCVE番号を一斉に公開した。同社の脆弱性情報ページ（PSIRT）には、同日付けで15件以上の勧告が掲載された。

　このうち深刻度が最も高い「クリティカル」は3件。1件目は、FortiOSの認証バイパスの脆弱性（CVE-2026-126253）で、共通脆弱性評価システム（CVSS）のスコアは9.3だった。影響を受けるのはFortiOSの7.2.0～7.2.13、7.4.0～7.4.12、7.6.0～7.6.7、8.0.0～8.0.1で、修正版は7.2.14、7.4.13、7.6.8、8.0.2という。クラウド型のFortiSASEも一部のバージョンが対象で、26.3.1と26.3.1_aは26.3.2で対応済み、そのほかの影響バージョンは修正版への移行が必要とされている。

　2件目は、FortiManagerとFortiAnalyzerの「FGFM」に関する権限昇格の脆弱性（CVE-2026-126261）で、CVSSは9.0だった。7.6.0～7.6.7と8.0.0が影響を受け、7.6.8または8.0.1以降への更新を求めている。

　3件目は、FortiManagerとFortiAnalyzerのdmserverにおける認可回避の脆弱性（CVE-2026-126229）で、同じく深刻度は「クリティカル」と評価されている。

　修正版そのものは先に出ていた。フォーティネットは10月21日にFortiMailとFortiAuthenticator、22日にFortiOS、FortiManager、FortiAnalyzerの更新プログラムを公開しており、今回はその約3週間後に、脆弱性の中身が明らかになった形だ。

　フォーティネットの勧告ページでは、FortiOSの認証バイパスと、FortiManager・FortiAnalyzerの権限昇格の2件について、「悪用確認済み」の項目が「いいえ」とされている。ただし、ファイアウォールやVPN、管理基盤といった企業ネットワークの要となる製品が対象で、詳細が公になったことで状況が変わる可能性もある。