Fortinet、FortiOS・FortiManager・FortiAnalyzer向けに重要なセキュリティ更新を公開

Fortinetは、FortiOS、FortiManager、FortiAnalyzer向けのセキュリティ強化アップデートを連携して2026年10月22日にリリースすると発表しました。

Securityflaw patching

今回の更新は、重大および重要度の高い脆弱性に対処するものです。同社は顧客に対し、インターネットに公開されているシステムの更新を優先し、通常の保守作業ではなく緊急対応として扱うよう強く求めています。

Fortinetの最高情報セキュリティ責任者（CISO）であるCarl Windsor氏は10月21日の発表で、今回のリリースには最先端AIを活用したセキュリティテストから得られた修正が含まれると述べました。FortiMailとFortiAuthenticatorの更新は、この連携リリースに先行して提供されます。

Fortinetが重要なセキュリティ更新を公開

Fortinetによると、最先端のAIモデルはコードパスやプロトコル処理、設定ロジックを調べ、従来のテスト手法よりも効率的に弱点を特定できます。同社は、この取り組みに対するAnthropic、OpenAI、Google、SpaceXの貢献に謝意を示しています。

Fortinetが以前公開したテスト手法は、ファームウェア解析、脅威モデリング、ソースコードレビュー、実環境でのペネトレーションテストを組み合わせたものです。人間のアナリストが検出結果を検証し、AIが生成した結果を確立された脆弱性評価プロセスの範囲内に収めています。

AIの攻撃面での潜在力も、今回の更新が急務である理由を裏付けています。Fortinetは、攻撃者がパッチをリバースエンジニアリングし、数時間から数日でエクスプロイトを開発できると警告しています。

公開されたファームウェアの変更点をパッチ比較で調べれば、脆弱なコードが明らかになるおそれがあります。AIは、重大度の低い複数の弱点を連鎖させ、より深刻な攻撃に発展させる支援もできます。

発表された最小修正バージョンは、次の4つのブランチにわたります。

影響を受けるのは、各ブランチの初回リリースから、修正版の直前のバージョンまでです。

FortiMailの利用者は、各ブランチ内でバージョン8.0.2、7.6.7、7.4.9以降にアップグレードしてください。バージョン7.2のFortiMailは、7.4以降へ移行する必要があります。FortiAuthenticatorの修正は、バージョン8.0.4および6.6.11以降で提供されています。

今回の発表では、個別のCVE、CVSSスコア、悪用の前提条件、確認済みの攻撃については明らかにされていません。公開アドバイザリは、11月10日にFortinetのPSIRTポータルで公開される予定です。

Fortinetは、公開されているシステムから先にパッチを適用し、10月22日から23日にメンテナンス枠を優先的に確保するよう推奨しています。

管理者は、アップグレードの前後に、導入環境の棚卸し、設定のバックアップ、不審な管理者アクセスや不正な設定変更の監視を行ってください。

すぐに適用できない場合、組織は次の対策を講じるべきです。

• HTTPSおよびSSHのアクセスを信頼できるIPアドレスに制限する
• 外部インターフェースからの管理アクセスを無効にする
• FortiManagerの管理機能にインターネット経由でアクセスできないようにする
• 多要素認証を徹底し、強力で一意の管理者認証情報を使用する
• アウトオブバンド管理、VPNまたはSASEによる分離、適用可能な仮想パッチを活用する

これらの対策でリスクは下がりますが、アップグレードの必要性がなくなるわけではありません。

FortiSASEは、今回のリリースに先立って自動更新される予定です。FortiManager Cloudは手動での更新が必要になる場合があります。パブリッククラウド上の環境は、各プロバイダーのリリースプロセスに従う必要があります。

MTTRを21分短縮し、影響が出る前にサイバー脅威を阻止。ANYRUNのSandboxをSOCに統合