Fortinet脆弱性8件、FortiWebに認証バイパス

【更新 2026-08-15】本記事を見直し、修正しました。主な修正点：①FortiWeb 2件（CVE-2026-26035／CVE-2026-70466）の影響範囲に7.0系を追加、②CVE-2026-70466の修正版は8.0.3系・7.6系にしか無いため「CVE-2026-26035と同時に塞がる」という記述を訂正、③Fortinet表示スコアが現状値である説明を「8件すべて」から「8件中7件」に訂正（CVE-2026-49975のみ評価が異なるため）。あわせて、Fortinetの一次情報どうしで記載が食い違う2点に要確認の注記を追加しました。

Fortinetは2026年8月12日、8件のセキュリティアドバイザリ（FG-IR-26-156〜163）を公開しました。国内の報道はFortiOSの2件を取り上げるものが中心でしたが、8件のうち最も深刻なのはFortiWebの認証バイパス（CVE-2026-26035）で、NVDに登録された基本値は9.8（緊急）です。対象はFortiGate（FortiOS）だけでなく、FortiWeb・FortiManager・FortiClient・FortiSIEM・FortiPAM・FortiProxyに広がります。

さらに、8件のうちいくつかは「修正版へのアップグレード」ではなく「Migrate to a fixed release（別系列への移行）」としか書かれておらず、修正版が未リリース（upcoming）のものも混ざります。まずは自社が持っているFortinet製品を洗い出したうえで、この記事の一覧表で当たりを付けてください。

• 2026年8月12日公開の8件の全体像（対象製品・深刻度・修正状況）
• Fortinetのアドバイザリ表示スコアとNVDの基本値がずれる理由と、その実務上の落とし穴
• FortiOSのDoS脆弱性が「6年前の修正の再発」だと公式に書かれている件
• 「仮想パッチが用意されている」＝「すでに守られている」ではない、という仮想パッチの実像

対象はFortiGateだけではない——製品名の整理

今回の8件が触れる製品は、いずれもFortinetの企業向けラインナップです。「うちはFortiGateだけ」と思っている読者ほど、次の2つに心当たりがないか確認してください。

• FortiClient（Windows版）…VPN接続・エンドポイント保護のためのクライアントソフトです。FortiGateでリモートアクセスVPNを組むと、利用者端末に配布されていることが多く、境界機器の担当者ではなくクライアント担当の作業になります。今回はこれに「高」が1件あります。
• FortiManager…複数のFortiGateを集中管理する装置です。運用を外部に委託している場合、委託先のFortiManagerが自社のFortiGateを管理していることがあります。自社資産台帳に載っていなくても影響を受ける立場になり得ます。

そのほか、FortiWebはWebアプリケーションを保護するWAFアプライアンス、FortiSIEMはログ相関分析（SIEM）、FortiPAMは特権アクセス管理、FortiProxyは明示プロキシ製品です。いずれも「守る側の資産」であり、ここが破られると被害の範囲が一段広くなります。

2026年8月12日公開の8件（一覧）

深刻度が高い順に並べています。「Fortinet表示」は各アドバイザリのページに出ているスコア、「NVD基本値」はNVDに登録された基本値です（両者がずれる理由は次章で説明します）。

修正版が未リリースのものがあります。FortiSIEM 7.4系・7.3系、FortiPAM 1.9系、FortiProxy 7.6系・7.4系、FortiSwitchManager 7.2系の修正版は、アドバイザリ上「upcoming（今後リリース予定）」と書かれています。台帳には「修正版未提供」と記録し、後日の再確認を予定に入れてください。

【要確認 2026-08-15：CVE-2026-70466（FG-IR-26-157）のCVEレコードの構造化データには、FortiWebに加えてFortiOS（6.4系〜7.6系）も影響対象として列挙されています。ただしアドバイザリ本文もCVEの説明文もFortiWebのみを挙げており、FortiOSが本当に対象かは確認できていません。FortiOS側でWAF機能を使っている場合は保守窓口に確認してください】

なぜスコアがずれるのか——「緊急」が一覧から消える

上の表で、Fortinetのページの表示とNVDの基本値が全件でずれていることに気付いたでしょうか。主な理由は、Fortinetのアドバイザリページが現状値（Temporal Score）を表示しているためです。8件のうち7件はCVSSベクタの末尾に E:P/RL:O/RC:C（実証コードあり／公式修正あり／情報の確度は確定）という同一の現状評価が付いており、この分だけ基本値より低い数字になります。残る1件のCVE-2026-49975だけは E:F（実際に動く攻撃コードあり）で、しかも後述のとおりスコアがずれる理由自体が違います。

実務上の影響はひとつだけですが、決定的です。CVE-2026-26035はNVD基準では9.8＝「緊急（Critical）」ですが、Fortinetの一覧では8.8＝「高（High）」として並びます。「緊急のものだけ当日対応、高は月内」といった深刻度ベースの運用をしている組織では、今回のFortinet分に緊急は1件も出てきません。

もうひとつ、CVE-2026-49975はApache HTTP Server由来で、NVD側の評価は7.5（高）ですが、Fortinet側は自社製品での影響を踏まえて5.8（中）としています。この1件だけは現状値の差ではなく、基本評価そのものが違います（NVD側は S:U/A:H＝可用性への影響「高」、Fortinet側は S:C/A:L＝スコープ変更ありだが影響は「低」）。同じCVEでも、部品としての評価と製品に組み込まれた状態での評価は別物です。どちらが正しいという話ではなく、自社の脆弱性管理ツールがどちらを取り込んでいるかを把握しておく必要があります。

当サイトではIvanti EPMの事例でも同種のスコア差を扱いました。スコアの絶対値ではなく、①成立時に取られる権限の高さ、②影響を受ける資産の重要度、の2点で判断してください。

最も重いFortiWebの認証バイパス（CVE-2026-26035）

非既定の設定を使っている場合に限り、攻撃者が任意のユーザー名とパスワードでFortiWebのGUI/CLIにログインできます。WAFの管理画面を奪われるということは、保護対象のWebアプリを守る設定そのものを書き換えられるということです。Fortinetの社内監査で発見されたと明記されています。

成立条件は「リモート（RADIUS）タイプの管理者アカウントでワイルドカード設定が有効（既定は無効）」です。該当判定と暫定回避は同じ操作で行えます。

• GUI: System > Administrators で、Remoteタイプの管理者アカウントのWildcardオプションが有効になっていないか確認する
• CLI: config system admin → 対象アカウントを編集 → set wildcard disable

修正版は 8.0.3 / 7.6.7 / 7.4.12 / 7.2.13 以降です 【要確認 2026-08-15：7.2.13 は、CVEレコード（CVE-2026-26035）の解決策欄では「upcoming（今後リリース予定）」と書かれている一方、アドバイザリページの表には upcoming の表記がありません。7.2系の修正版が現時点で入手できるかは保守窓口に確認してください】。また、CVEレコードにはFortiWeb 7.0系（7.0.0〜7.0.12）も影響対象として記載されており、その修正版 7.0.13 も「upcoming」とされています。アドバイザリページの表には7.0系の行がないため、7.0系を使っている場合に「対象外」と読み違えないでください。

注意したいのは、同時公開のCVE-2026-70466（WAF回避）が塞がるのは 8.0.3 以降と 7.6.6 以降だけだという点です。CVE-2026-70466では7.4系・7.2系はいずれも「Migrate to a fixed release」とされており、その系列に修正版は用意されていません。8.0系・7.6系であればこの2件を1回の更新計画にまとめられますが、7.4系・7.2系では 7.4.12／7.2.13 へ上げても塞がるのは認証バイパス（CVE-2026-26035）だけです。なお、WAFの検知をすり抜ける類の問題は他製品でも繰り返し起きており、ModSecurityの事例と構図は同じです。

FortiOSの2件——1つは6年前の修正の再発

報道で取り上げられたFortiOSの2件は、いずれも深刻度「中」ですが、読みどころは別のところにあります。前回（2026年7月公開分の7件）と同様、FortiOSファミリーに「緊急」「高」は含まれていません。

CVE-2026-71408：2020年に直したはずのDoSが戻ってきた

管理GUIに対して、HTTPリクエストを少しずつ小分けに送り続けてリソースを枯渇させる「低速HTTP DoS」です。認証は不要です。注目すべきは、アドバイザリ本文に「This incident is a regression from FG-IR-19-013」（FG-IR-19-013からのリグレッションである）と書かれている点です。

FG-IR-19-013は2020年2月3日公開で、CVE-2007-6750（いわゆるSlowloris）とCVE-2019-17657を扱い、深刻度は「高」・CVSS 7.5としてFortiOS 6.2.3で対策されたものです。同じ症状が約6年半後に再発し、今回は「中」・5.0として公開されています。実装の回帰は珍しいことではありませんが、過去に対応済みの脆弱性を「もう終わった話」として台帳から消す運用は危ういことを示す実例です。

対象は7.6.0〜7.6.6のほか、7.4系と7.2系は全バージョンです。そして解決策は7.6系が「7.6.7以上へアップグレード」であるのに対し、7.4系・7.2系は「Migrate to a fixed release」＝別系列への移行としか書かれていません。さらに、Fortinetが案内するタイムアウト設定（admin-http-request-header-timeout など）は7.6.7および8.0.0以降でのみ利用可能です。つまり7.4系・7.2系に留まっている環境では、次の2つしか打ち手がありません。

• 管理者ログインを信頼済みホスト（trusted hosts）に限定する
• インターネットに面したインターフェースでGUIアクセスを無効化する

これは本来、脆弱性の有無にかかわらず境界機器で常時守るべき設定です。今回のDoSは「その設定をしていない環境だけが、追加の被害を受ける」という構造になっています。

なおFortiOS 7.2系は2026年9月30日にサポート終了（End of Support）を迎えるとされています（Fortinetの公式ライフサイクル情報は要ログインのため、ここではコミュニティ記事および追跡サイトの情報です。正確な日付は保守窓口に確認してください）。7.2系を使い続けている環境は、この脆弱性とは無関係にあと1か月半で更新が止まります。SonicWall GMSのEOL直前更新と同じ判断を迫られる場面です。

CVE-2026-71407：条件が揃った環境だけの問題

FortiOSの明示プロキシ（explicit proxy）を処理するWADデーモンにスタックバッファオーバーフローがあり、スタック保護とASLRを回避できる攻撃者が、細工したソケット通信で任意コードを実行し得ます。WADはFortiGateの内部でプロキシ処理などを担当する常駐プロセスで、管理画面に名前が出てこないため、多くの管理者は存在を意識していません。

ただし成立条件は厳しく、明示プロキシがKerberos認証で構成され、かつSOCKSが有効な場合に限られます。対象はFortiOS 7.6.1〜7.6.6のみで、7.4系・7.2系・8.0系は影響を受けません。報告者は英国の国家サイバーセキュリティセンター（NCSC）です。

該当判定は明示プロキシの設定を見れば済みます。暫定回避としてFortinetは config web-proxy explicit で set socks disable にするか、SOCKSプロキシの認証方式をKerberos以外に変更することを案内しています。修正版は7.6.7以上です。

ここには「新しい系列に追随している組織ほど当たる」という逆転があります。7.6系に上げた環境だけが対象で、7.4系に留まった環境は無関係です。バージョンを上げることは原則として正しい判断ですが、「最新に近い＝安全」ではないことは押さえておきたいところです。

「仮想パッチがある」は「守られている」ではない

今回のCVE-2026-71407とCVE-2026-70466には、Fortinetの仮想パッチ（Virtual Patch）が用意されています。それぞれ「FG-VD-10009617.0day」（FMWP db 26.073）、「FG-VD-10009598.0day」（FMWP db 26.071）です。ここを「更新できない間も自動的に守られている」と読んでしまうと危険です。

Fortinetの管理ガイドによれば、FortiGateにおける仮想パッチは次の仕組みで動きます。

• FortiGate自身のIPSエンジンが、FMWP（Firmware Virtual Patch）データベースを使って自機宛ての通信を検査する
• 適用にはローカルインポリシーでの明示的な有効化が必要（config firewall local-in-policy → set virtual-patch enable）
• FMWPデータベースのインストールにはFMWR（Firmware）ライセンスが必要。導入状況は diagnose autoupdate versions で確認できる
• 適用されるのは有効化後の新規セッションのみ。長時間維持されている既存セッションに効かせるにはセッションのリセットが必要

さらに公式ドキュメントには、見落とすと障害になる注意書きがあります。クライアント証明書を使うAgentless VPNやZTNA接続がFortiGateで終端している構成では、virtual-patchを有効にすると接続が失敗するため有効化しないこと、と明記されています。「アドバイザリに仮想パッチが載っていたので有効化しよう」と当日に判断すると、VPNが繋がらなくなる事故になり得ます。

署名名の末尾に付く「.0day」は、公式アドバイザリ公開前から先行して配信される署名の命名です。ドキュメントのサンプルには、ベンダーの公式見解が出る前後の両方で脅威を緩和することを意図した署名であり、公式アドバイザリ公開後に署名名と説明が更新される、という説明が載っています。

Apache由来の1件は「調査中」の製品がある

FG-IR-26-163（CVE-2026-49975）は、Fortinet独自の欠陥ではなく、製品に組み込まれているApache HTTP Server（2.4.17〜2.4.67）のmod_httpに起因するDoSです。この1件だけ、アドバイザリの構造が他と違います。

• 影響が確定した製品：FortiPAM、FortiProxy、FortiSwitchManager
• 調査中の製品：FortiOS、FortiProxy、FortiPAM、FortiSASE、FortiSwitchManager、FortiPresence
• 影響なしと確認済みの製品：FortiDDoS、FortiADC、FortiWebManager、FortiSOAR

FortiProxy・FortiPAM・FortiSwitchManagerは、影響を受けるバージョン表と「調査中」の一覧の両方に載っています。すでに対象が確定している系列と、まだ確認中の系列が混在しているためと読めますが、アドバイザリ上は明記されていません。判断に迷う場合は保守窓口に確認してください。

いずれにせよFortiOSについては、この時点では「影響の有無が確定していない」のであって、影響なしと確認されたわけではありません。月例のアドバイザリを読んで対応表を作り、そのまま閉じてしまう運用だと、後日追記された内容を取り逃がします。この1件は「継続確認」として台帳に残してください。共通部品（今回はApache HTTP Server）の脆弱性は、製品ごとに影響の有無が別々のタイミングで確定していきます。1回読んで完了にできない種類のアドバイザリがある、と分けて扱うのが実務的です。

現場目線の所感

今回の8件を通して見ると、「該当するかどうかが自社の設定次第」という項目が非常に多いことに気付きます。RADIUS管理者のワイルドカード、明示プロキシのKerberos＋SOCKS、FGFMのCLIオプション、FortiClient EMSのアプリケーションベースフィルタ。いずれも、資産管理台帳を見ても分かりません。結局は機器にログインしてコンフィグを開くしかないのですが、境界機器のコンフィグは何年もかけて追加された設定が積み重なっており、「今なぜこの設定が入っているのか」を説明できる人がもう社内にいないということが珍しくありません。無効化してよいのか判断できず、結局そのままにしてしまう——という場面は、多くの現場で経験があるのではないでしょうか。

また「Migrate to a fixed release」の一言は、アドバイザリの上では1行ですが、現場では別系列への移行＝検証環境での動作確認、設定移行、メンテナンス時間の調整で数か月かかる作業です。それをDoS 1件のために動かすのは難しく、かといって7.2系はサポート期限が迫っています。今回のような「中」の脆弱性は、単体では動かない代わりに、系列移行を決断するための材料としては十分に使えます。稟議の理由を「深刻度が高いから」ではなく「サポート期限＋修正が提供されない系列であること」に置き換えると、話が通りやすくなります。

情シスはどうすべきか

自前で長大なチェックリストを作るより、公的機関の指針に沿って手順を整えるほうが確実です。特にネットワーク機器・境界機器の管理インターフェースの露出は、毎年繰り返し指摘されている論点です。

• 中小企業の情報セキュリティ対策ガイドライン（IPA）…資産の把握と更新管理の基本的な進め方。まず台帳に「機器・バージョン・保守期限・管理IFの公開範囲」の4項目が揃っているかを確認する用途に使えます。
• セキュリティインシデント対応 机上演習教材（IPA）…「境界機器が落ちた／管理画面を奪われた」想定は演習の題材として現実的です。
• 対策のしおり（IPA）…FortiClientのようにエンドポイント側の更新が絡む場合、利用者への周知文面のベースに使えます。

そのうえで今回に限って言えば、次の3つを順に実施するのが現実的です。①FortiWebのRADIUS管理者設定の確認（数分で終わり、該当すれば最優先）、②FortiClientの配布バージョン確認（クライアント担当への連携が必要）、③FortiOS 7.2系・7.4系の系列移行計画の見直し。

なお、境界機器の乗っ取りが最終目的ではなく、他組織への攻撃の中継点として使われる事例も増えています。境界機器のORB化もあわせて確認しておくと、経営層への説明材料になります。

まとめ

• 2026年8月12日のFortinetアドバイザリは8件。最も重いのはFortiWebのCVE-2026-26035で、NVD基準では9.8（緊急）。非既定のRADIUS管理者設定を使っている場合のみ該当し、確認は数分で終わります。
• Fortinetのページ表示は現状値、NVDは基本値で、全件がずれています（Apache由来の1件だけは、現状値ではなく評価ベクタそのものが異なります）。深刻度でトリアージしている組織は、今回「緊急」が1件も見えません。スコアではなく、取られる権限と資産の重要度で判断してください。
• FortiOS 7.4系・7.2系は「別系列への移行」しか案内されておらず、緩和用の設定コマンドも使えません。7.2系は2026年9月30日にサポート終了とされており、移行計画を前倒しする判断材料になります。

出典

• FG-IR-26-158: Broken access control in the RADIUS type admin group（CVE-2026-26035）
• FG-IR-26-156: Heap overflow in kernel driver due to missing size validation（CVE-2026-70465）
• FG-IR-26-157: Content-Encoding WAF Evasion（CVE-2026-70466）
• FG-IR-26-159: Server-Side Request Forgery（CVE-2026-70467）
• FG-IR-26-160: FGFM Authentication Weakening via CLI Configuration（CVE-2026-70468）
• FG-IR-26-161: Stack buffer overflow in WAD（CVE-2026-71407）
• FG-IR-26-162: UI DoS attack（CVE-2026-71408）
• FG-IR-26-163: HTTP/2 Bomb（CVE-2026-49975）
• FG-IR-19-013: Slow HTTP DoS attack（2020年2月3日公開・再発元）
• Virtual patching on the local-in management interface（FortiGate 7.6.6 管理ガイド）
• NVD: CVE-2026-26035
• Security NEXT: 「FortiOS」に複数脆弱性 – 修正版や仮想パッチを用意（2026年8月13日）