Fortinet、悪用されているFortiCloud SSOのゼロデイに対するパッチのリリースを開始：CVE-2026-24858

Fortinet、悪用されているFortiCloud SSOのゼロデイに対するパッチのリリースを開始：CVE-2026-24858

Help Net Security – January 28, 2026

Fortinetが、脆弱なFortiGateファイアウォールへの不正なログインを可能にする重大なゼロデイ脆弱性を修正したForiOSバージョンのリリースを開始。同社は、「この脆弱性は2件の悪意あるFortiCloudアカウントによって実環境で悪用されているのが見つかっており、これらのアカウントは2026年1月22日にロックアウトされた」と述べている。

FortiGateをめぐっては1月20日ごろから複数のユーザーが侵害事例を報告。最新のFortinetOSバージョン（v7.4.10）を適用したデバイスであるにもかかわらず、攻撃者が同ファイアウォールへのアクセスを獲得し、新たな管理者アカウントを不正に作成したなどと数人がRedditに書き込んでいた。

v7.4.10は、2025年12月に開示され、直後に悪用が始まっていた脆弱性CVE-2025-59718に対する修正版としてリリースされたバージョン。CVE-2025-59718も同様の形で攻撃者に認証バイパスを許すものであったことから、ユーザーらの間では「CVE-2025-59718は適切に修正されていなかったのではないか」との推測が飛び交った。

※詳しくはこちらの記事で：

しかし、Fortinetが1月27日に公開したアドバイザリには、今回攻撃者が悪用したのはCVE-2026-24858という別の脆弱性である旨が記されている。アドバイザリによれば、同脆弱性は「代替パスまたはチャネルを用いた認証パイパスの脆弱性（CWE-288）」で、FortiCloudアカウントおよび登録済みデバイスを有する攻撃者に対し、「その他のアカウントに登録されたその他のデバイスにログインすること」を可能にする恐れがあるとされる。ただ、これにはこれらのデバイス上でFortiCloud SSO認証が有効になっていることが必要になるという。この機能が有効になっているデバイスでしか悪用できないという点は、12月の脆弱性CVE-2025-59718と共通している。

CVE-2026-24858のCVSSv3スコアは9.4で、深刻度は「Critical」の評価。FortiOSに加え、FortiAnalyzerとFortiManagerも影響を受けるとされ、FortiWebおよびFortiSwitch Managerへの影響有無については現在調査中だとされる。

CVE-2026-24858はFortiOS 7.4.11（FortiOS 7.4バージョン）で修正されており、利用者にはアップグレードが推奨されている。FortiOS 7.4以外のバージョンのFortiOS、FortiManager、およびFortiAnalyzerに対する修正版については、今後まもなくリリース予定だという。

Fortinetはまた、1月26日にFortiCloud SSOをFortiCloudサイドで無効化し、脆弱なバージョンからのログインがサポートされない状態にして27日に再度有効化した旨も通知。このため、クライアントサイドでFortiCloud SSO機能を無効化する必要はないが、同認証を機能させるためには最新バージョンへのアップグレードが必須となると伝えた。

アドバイザリにはIoCも記載されており、利用者には自身のログをチェックして侵害の兆候や不審な管理者アカウントがないかを確認することが推奨されている。

【無料配布中レポート】

各種レポートを無料配布中！バナー画像よりダウンロード可能です。

【最新版】インテリジェンス要件定義に関するガイドブック

地政学レポート

OSINT関連レポート

ディープ＆ダークウェブレポート