Fortinetは、リモートの未認証攻撃者がランダムなユーザー名とパスワードを使ってWebアプリケーションファイアウォールにログインできてしまう、FortiWebの重大な認証脆弱性に対するセキュリティアップデートを公開しました。
CVE-2026-26035として追跡されているこの脆弱性は、グラフィカル管理機能およびコマンドラインによる管理機能を不正アクセスにさらす可能性があります。分類は不適切な認証（CWE-287）です。
盗まれたパスワードや有効な管理者アカウント、あるいは従来型のブルートフォース攻撃を必要とせず、攻撃者は任意の認証情報を送信するだけで済みます。脆弱な認証処理がその情報を誤って受け入れてしまうためです。
Fortinetのアドバイザリによると、この問題はワイルドカードオプションが有効化されたリモートRADIUSタイプの管理者アカウントに関連しています。ワイルドカードはデフォルトでは無効になっているため、初期設定のままの環境では影響範囲は限定的です。
しかし、企業は管理アクセスを簡素化したり、FortiWebを一元的なID基盤と統合したりする目的で、リモート認証やワイルドカードアカウント処理を有効化している場合があります。
脆弱な設定下では、FortiWebのAdmin User Group設定に該当するグループマッピングが存在する場合、攻撃者が入力したユーザー名がリモートユーザーアカウントと一致してしまう可能性があります。
影響を受けるバージョンは、FortiWeb 8.0.0から8.0.2、7.6.0から7.6.6、7.4.0から7.4.11、7.2.0から7.2.12、および7.0.0から7.0.12です。Fortinetは、FortiWeb 8.0.3、7.6.7、7.4.12、7.2.13で修正版を公開しています。
影響を受けるバージョンを運用している組織は、アップグレードを計画し、自社の展開環境に対して対象バージョンを検証したうえで、本番機器に変更を適用する前にベンダーがサポートするアップグレード手順に従う必要があります。
すぐにパッチを適用できないチームにとって、最も重要な暫定対策はリモートタイプの管理者アカウントに対するワイルドカード認証を無効化することです。
管理者は、FortiWebのGUIでSystem > Administratorsの下にあるアカウントを確認し、ワイルドカードアクセスが無効になっていることを確認する必要があります。
この設定は、該当するシステム管理者設定コンテキスト内でコマンドラインからも無効化できます。管理インターフェースは信頼できるネットワークに制限すべきですが、パッチ適用を先延ばしにしてはいけません。
FortiWeb機器が侵害されると、保護対象のアプリケーションの手前で攻撃者に戦略的に重要な足場を与えることになります。割り当てられた権限やネットワーク設計によっては、ポリシーの変更、保護対象のWebトラフィックの可視化、セキュリティ制御の改変、あるいはアプリケーション基盤への後続攻撃の準備につながる可能性があります。
今回の公表は、運用上の教訓を改めて浮き彫りにしています。デフォルトではないID設定やリモート管理設定は、特に境界セキュリティ製品において、ソフトウェアのバージョンと同じくらい慎重に見直す必要があるということです。
脆弱性の公表時点で、FortinetはCVE-2026-26035の悪用が確認されているとは示していませんでした。とはいえ、リモートかつ未認証で攻撃可能な経路であることと、Webアプリケーションファイアウォールの管理制御に及ぼしうる影響を踏まえると、迅速な対応が不可欠です。
組織は、影響を受けるFortiWebシステムにパッチを適用し、不要なワイルドカード認証を無効化し、管理面の露出を減らし、不審な管理操作がないか注意深く監視する必要があります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより速く。フィッシングの完全な可視化でSOCを強化し、MTTRを削減しましょう
翻訳元: https://cyberpress.org/fortiweb-flaw-login-random-username-password/
