Fortinetは先週、FortiOS、FortiManager、FortiAnalyzer、FortiMail、FortiAuthenticator向けにセキュリティ強化アップデートを公開しました。ただし、修正した脆弱性の詳細は2026年11月10日まで公表しない方針です。
FortinetのCISO（最高情報セキュリティ責任者）であるCarl Windsor氏は事前告知の中で、これらの脆弱性はAIモデルの支援で発見され、人間が検証したものだと説明しました。一方で、攻撃者もAIツールを利用でき、脆弱性の発見やエクスプロイトの作成に使えると警告しています。
同氏は「脆弱性の公表から悪用までの猶予は縮まり続けており、今後も縮まると見ています。アップデートが公開されると、修正内容そのものがどこに変更を加えたかを示してしまい、システムの潜在的な弱点が明らかになります。パッチ未適用のデバイスは、攻撃者にとって狙いやすい標的になります」と述べています。
管理者が今すぐアップグレードすべき理由
先週はPHP2Shell脆弱性の公表で混乱が広がりました。そのため、Fortinetの告知とセキュリティ強化アップデートは、通常ほど注目を集めなかったかもしれません。
Fortinet製品は攻撃者に好まれる標的です。今回修正された脆弱性についても、Fortinetは重大度を「クリティカル」または「高」と評価しています。少なくとも一部は、認証なしでリモートから悪用できる可能性があります。
加えてFortinetは、AIが「一見無関係な低深刻度の脆弱性を連鎖させ、より深刻で悪用可能な脆弱性に仕立て上げる」可能性があると警告しています。
修正版は次のブランチで提供されています。
- FortiOS、FortiManager、FortiAnalyzer 8.0、7.6、7.4、7.2
- FortiMail 8.0、7.6、7.4（FortiMail 7.2を使用中のユーザーは7.4ブランチ以降へアップグレードしてください）
- FortiAuthenticator 8.0、6.6
まだアップグレードしていない管理者は、直ちに実施することが推奨されます。攻撃者は11月10日まで待ってはくれないためです。
Fortinetは、インターネットに公開しているシステムの更新を優先するよう助言しています。管理者のアクセスを信頼できるIPアドレスに限定する、FortiManagerをインターネットに接続しない、強力で固有の認証情報を使う、管理者アカウントにMFAを強制するといった対策で、攻撃にさらされるリスクを一時的に下げられるとしています。ただしWindsor氏は、これらはアップグレードの代わりにはならないと強調しました。
今回のセキュリティ強化アップデートには、PHP2Shell脆弱性の修正は含まれていません。FortiOS、FortiManager、FortiAnalyzer、FortiMail、FortiAuthenticatorは影響を受けないためです。
AIはどのように脆弱性発見に役立ったか
Fortinetは数カ月前から、自社のオンプレミスモデルに加え、最先端のAIモデルをセキュリティテストに活用してきました。
最初は、攻撃者と同じようにソースコードにアクセスしない条件で、自社製品をテストしました。モデルがファームウェアを解析し、その仕組みと攻撃可能な箇所を整理しました。得られた手がかりは、ペネトレーションテストとレッドチーミングで検証しています。
この方法で見つかった悪用可能な脆弱性は多くありませんでした。一方で、AIモデルはファームウェアのバージョン比較や、すでに修正済みの脆弱性に対するPoC（概念実証）エクスプロイトの作成が得意だと判明しました。Windsor氏が顧客にアップグレードを先送りしないよう促すのは、まさにこのためです。
成果の大半は、攻撃者が通常は入手できない自社のソースコードをモデルに解析させたときに得られました。30の製品ファミリーに対する100件超のテストのうち、指摘の約40%は実際の脆弱性でした。約30%は誤検知で、残る約30%はセキュリティ改善の機会ではあるものの、悪用可能な欠陥ではありませんでした。
