Fortinet、FortiWebとFortiManagerの認証関連の脆弱性を修正

Fortinetは水曜日、自社製品に存在する8件の脆弱性に対するパッチを発表しました。この中には、FortiWebおよびFortiManagerにおける深刻度の高い認証関連のバグも含まれています。

FortiWebについては、特定の非デフォルト設定で構成された環境に影響する不適切な認証の問題を解決しました。

Fortinetの説明によると、リモートの未認証の攻撃者はCVE-2026-26035として追跡されているこの欠陥を悪用し、「ランダムなユーザー名とパスワードでFortiWebのGUI/CLIにログインする」ことが可能だったといいます。

この脆弱性は管理者アカウントのワイルドカード設定に関連するもので、この設定はデフォルトでは無効になっています。この設定が有効になっている場合、システムはリモートサーバー上の任意のユーザー名をRemote Userアカウントと照合してしまいます。

Fortinetは次のように説明しています。「ワイルドカードが有効になっており、なおかつAdmin User Group(User > User Group > Admin Group)でグループ名を定義している場合、システムはリモートサーバー上のユーザーのうち、グループ名の値が定義した内容と一致するものを照合してしまいます」

CVE-2026-26035は、FortiWebのバージョン8.0.3、7.6.7、7.4.12、7.2.13で修正されました。回避策として、同社はワイルドカード設定を無効にすることを推奨しています。

もう一つのFortiManagerの脆弱性はCVE-2026-70468として追跡されており、これは認証バイパスの問題です。リモートの攻撃者がFortiManagerによって管理されているFortiGateデバイスになりすますことを可能にします。この脆弱性の悪用には、特定のCLIオプションが設定されていることと、攻撃者が有効な証明書を持っていることが条件となります。

Fortinetはまた、Windows向けFortiClientに存在する深刻度の高いバッファオーバーフローのバグ(CVE-2026-70465)も修正しました。この脆弱性は、DNS応答を改変または偽造できる未認証の攻撃者による任意のコード実行を許してしまう可能性がありました。

水曜日には、FortiWeb WAF、FortiOS、FortiSIEMに存在する中度および低度の深刻度のセキュリティ上の欠陥も解決したほか、Apache HTTP Serverに影響するHTTP/2 Bomb攻撃であるCVE-2026-49975の影響について詳述したアドバイザリも公開しました。

Fortinetは、これらの脆弱性のいずれについても実際の攻撃で悪用された事例には言及していません。詳細な情報は、同社のPSIRTアドバイザリページで確認できます。