Fortinet、悪用確認の脆弱性含む複数製品の脆弱性について注意喚起（CVE-2025-61624ほか）

佐々山 Tacos

2026.04.15

Fortinet、悪用確認の脆弱性含む複数製品の脆弱性について注意喚起（CVE-2025-61624ほか）

FortiGuard Labs – April 14, 2026

Fortinetは4月14日〜15日、複数製品における脆弱性のアドバイザリ数件を公開。これには、攻撃で悪用されている脆弱性CVE-2025-61624が含まれる。

CVE-2025-61624は、FortiOS、FortiPAM、FortiProxy、FortiSwitchManagerのCLIにおけるパストラバーサルの脆弱性。この問題により、特権を持つ攻撃者は特別に細工された既存コマンドへの引数を通じて任意のファイル書き込みまたは削除を行えるようになる恐れがあるとされる。Fortinetのアドバイザリには、この脆弱性が攻撃で悪用されている旨の記載があるものの、どのような攻撃で悪用されているかなどの詳細は不明。

CVE-2025-61624の影響を受けるのは、以下の製品・バージョン。

FortiOS：7.6.0〜7.6.4および7.4.0〜7.4.9が影響を受け、それぞれ7.6.5以降のバージョン、7.4.10以降のバージョンへのアップグレードにより対処可能。7.2、7.0、6.4の全バージョンも影響を受けるが、これらについては修正版リリースへの移行が必要となる。
FortiPAM：1.7.0が影響を受け、1.7.1以降のバージョンへのアップグレードにより対処可能。1.6、1.5、1.4、1.3、1.2、1.1、1.0の全バージョンも影響を受けるが、これらについては修正版リリースへの移行が必要となる。FortiPAM 1.8は影響を受けない。
FortiProxy：7.6.0〜7.6.4および7.4.0〜7.4.11が影響を受け、それぞれ7.6.5以降のバージョン、7.4.12以降のバージョンへのアップグレードにより対処可能。7.2、7.0の全バージョンも影響を受けるが、これらについては修正版リリースへの移行が必要となる。
FortiSwitchManager ：7.2.0〜7.2.7および7.0.0〜7.0.6が影響を受け、それぞれ7.2.8以降のバージョン、7.0.7以降のバージョンへのアップグレードにより対処可能。

このほか、4月14日にはFortiSandboxにおける「Critical」評価の脆弱性CVE-2026-39808およびCVE-2026-39813も公開されている。

CVE-2026-39808はFortiSandboxにおけるOSコマンドインジェクションの脆弱性で、CVSSv3スコアは9.1。この問題を利用することで、認証されていない攻撃者は細工されたHTTPリクエストを通じて不正なコードやコマンドを実行できるようになるとされる。影響を受けるのはFortiSandbox 4.4.0〜4.4.8で、4.4.9以降のバージョンへのアップグレードにより対処可能。FortiSandbox 5.0は影響を受けない。

一方で、CVE-2026-39813はFortiSandbox JRPC APIにおけるパストラバーサルの脆弱性。CVSSv3スコアは同じく9.1となっている。この問題を利用することで、認証されていない攻撃者は特別に細工されたHTTPリクエストを通じて認証をバイパスできるようになるとされる。影響を受けるのはFortiSandbox 5.0.0〜5.0.5および4.4.0〜4.4.8で、それぞれ5.0.6以降、4.4.9以降のバージョンへのアップグレードにより対処可能。FortiSandbox 5.2およびFortiSandbox 4.2は影響を受けない。

このほか、14日〜15日に公開された中で特に深刻度の高い脆弱性は以下。

CVE-2026-39815（CVSSv3 スコア7.9、深刻度「High」）：FortiDDoS-FにおけるSQLインジェクションの脆弱性。この問題により、認証された攻撃者は細工されたHTTPリクエストを送ることでデータベース上で任意のSQLクエリを実行できるようになるとされる。影響を受けるのはFortiDDoS-F 7.2.1〜7.2.2で、7.2.3以降へのアップグレードで対処可能。

CVE-2026-22828（CVSSv3 スコア7.3、深刻度「High」）：FortiAnalyzer Cloudにおけるヒープベースのバッファオーバーフローの脆弱性。この問題により、認証されていないリモートの攻撃者は特別に細工されたリクエストを通じて任意のコードまたはコマンドを実行できるようになるとされる。この脆弱性は、攻撃者がすでに同一の組織に属する別のクラウドコンポーネントにアクセスできる場合にのみ悪用可能。影響を受けるのはFortiAnalyzer Cloud 7.6.2〜7.6.4およびFortiManager Cloud 7.6.2〜7.6.4で、いずれも7.6.5以降へのアップグレードにより対処できる。

CVE-2026-39809（CVSSv3 スコア7.1、深刻度「High」）：FortiClientEMSにおけるSQLインジェクションの脆弱性。この問題により、認証された攻撃者は細工されたリクエストを送ることでデータベース上で任意のSQLクエリを実行できるようになるとされる。影響を受けるのはFortiClientEMS 7.4.0〜7.4.5および7.2.0〜7.2.12で、それぞれ7.4.6以降のバージョン、7.2.13以降のバージョンへのアップグレードにより対処できる。7.0の全バージョンも影響を受け、対処のためには修正版リリースへの移行が必要となる。