Fortinetは、重大および高深刻度の脆弱性に対処するため、FortiOS、FortiManager、FortiAnalyzer向けに、調整されたセキュリティ強化アップデートを2026年10月22日に公開すると発表しました。
同社は、インターネットに公開している環境を優先して対応し、今回のアップデートを定例のメンテナンスではなく緊急のセキュリティ変更として扱うよう顧客に呼びかけています。
10月21日の発表で、FortinetのCISO（最高情報セキュリティ責任者）Carl Windsor氏は、今回のリリースにはフロンティアAIを活用したテストで見つかった脆弱性が含まれていると説明しました。
Fortinetは、この取り組みで協力したAnthropic、OpenAI、Google、SpaceXに謝意を示しています。取り組みはFortiMailとFortiAuthenticatorのアップデートに続くものです。
Fortinetによると、フロンティアモデルはコードパス、プロトコル処理、設定ロジックを調べることで、従来のテストだけよりも効率的に弱点を特定できるといいます。
同社のテストプログラムは、自動分析にペネトレーションテストと人による検証を組み合わせたものです。AIが見つけた問題を、そのまま脆弱性として確定させることはありません。
一方で、同じ能力は防御側に圧力もかけます。Fortinetは、攻撃者がAIでパッチをリバースエンジニアリングし、数時間から数日でエクスプロイトを開発できると警告しています。深刻度の低い弱点を連鎖させ、より被害の大きい攻撃に発展させることも可能です。
パッチの差分から、詳細なアドバイザリが公開される前に脆弱な機能が明らかになる場合もあります。
今回の発表では、個別のCVE識別子、CVSSスコア、脆弱性の種類、実際に悪用されている証拠は示されていません。そのため、このリリースを特定の攻撃キャンペーンの裏付けと受け取らないよう注意が必要です。
FortiOSの影響を受けるバージョンは、8.0.0～8.0.1、7.6.0～7.6.7、7.4.0～7.4.12、7.2.0～7.2.13です。それぞれ8.0.2、7.6.8、7.4.13、7.2.14、またはそれ以降の該当リリースにアップグレードしてください。
FortiManagerとFortiAnalyzerは、影響を受ける範囲が共通で、8.0.0～8.0.1、7.6.0～7.6.7、7.4.0～7.4.11、7.2.0～7.2.12です。修正バージョンはそれぞれ8.0.2、7.6.8、7.4.12、7.2.13、または各ブランチ内のそれ以降のリリースです。
関連するFortiMailの修正バージョンは8.0.2、7.6.7、7.4.9以降です。影響を受ける7.2の環境は、7.4以降へ移行する必要があります。FortiAuthenticatorの修正バージョンは8.0.4と6.6.11以降です。
管理者は、公開状態にあるシステムを洗い出し、設定をバックアップしたうえで、10月22日から23日にかけてメンテナンス枠を優先的に確保してください。Fortinetは、アップグレードの前後で、通常と異なる管理者アクセスや不正な設定変更がないかログを監視するよう推奨しています。
すぐにパッチを適用できない場合は、HTTPSとSSHによる管理を信頼できるアドレスに限定し、外部からの管理アクセスを無効にしてください。FortiManagerの管理インターフェースをパブリックなインターネットに公開しないことも重要です。
帯域外管理、VPNまたはSASEによる保護、該当する仮想パッチは、一時的にリスクを下げるのに有効です。強力で一意な認証情報や管理者の多要素認証も引き続き欠かせませんが、これらの対策はアップグレードの代わりにはなりません。
Fortinetは詳細なPSIRTアドバイザリを11月10日に公開する予定です。FortiSASEは調整リリースの前に自動で更新される予定ですが、FortiManager Cloudでは手動での対応が必要になる場合があります。パブリッククラウド上の更新は、各プロバイダーのリリースプロセスに従って提供されます。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を減らしています。チームでの導入を検討する
翻訳元: https://cyberpress.org/fortinet-patches-critical-vulnerabilities/
