FortiGateのファームウェアをまだ更新していない場合は、まずFortiOSのバージョンを確認してください。 Fortinetは2026年11月10日（米国時間）、FortiOSに関係する8件の脆弱性情報を公表しました。このうち3件は最も深刻な「Critical」です。特定のHA構成では、認証を受けない攻撃者が最高管理者権限でコマンドを実行できるおそれがあります。
ただし、FortiGateを使っているすべての企業が侵害された、というニュースではありません。 BGP、OSPF、HAなど利用している機能や構成で攻撃の条件が変わります。本記事では、情シス担当者が「自社は対象か」「まず何を調べ、どう更新するか」を判断できるよう、公式の更新案内と公開された個別脆弱性情報を整理します。確認日：2026年11月11日（日本時間）。
まず結論：対象バージョンと今すべきこと
| FortiOS系列 | 主な対象バージョン | 更新先（修正版） |
|---|---|---|
| 8.0系 | 8.0.0～8.0.1 | 8.0.2以降 |
| 7.6系 | 7.6.0～7.6.7 | 7.6.8以降 |
| 7.4系 | 7.4.0～7.4.12 | 7.4.13以降 |
| 7.2系 | 7.2.0～7.2.13 | 7.2.14以降 |
上表はFortinetが10月22日に提供したセキュリティ強化リリースの対象範囲です。今回の8件の影響範囲はCVEごとに異なりますが、上表の修正版へ更新済みなら、今回取り上げる8件については修正済みまたは該当系列が対象外と整理できます。7.0系以前は今回の個別一覧に明記されないため、「対象外」とは断定しません。保守契約と製品ライフサイクルも確認してください。
- 稼働版を調べる：FortiGateの管理画面またはCLIで実際のFortiOSを確認する。
- 設定を確認する：OSPF、iBGP、FGSP＋設定同期、autoscaleの利用有無と、同期・経路制御通信の到達元を洗い出す。
- 更新計画を組む：設定をバックアップし、機種別のアップグレードパス、HA切替、FortiManagerなどの互換性を確かめて修正版へ更新する。
- ログを点検する：不審な管理者ログイン、設定変更、HA・ルーティング異常、予期しない再起動・通信断を調べる。
重大な3件は何が危険？CVEと攻撃条件を整理
| CVE / CVSS v3.1 | 問題と影響 | 特に確認すべき構成 |
|---|---|---|
| CVE-2026-126254 9.6 / Critical | BGPの数値処理不備。細工された経路属性が広まり、サービス停止につながるおそれ | 設定済みのiBGPネイバー |
| CVE-2026-126253 9.3 / Critical | OSPFの認証回避。認証されていない攻撃者が不正なLSA（経路情報）を送信できるおそれ | OSPFの利用状況と到達可能な経路 |
| CVE-2026-126259 9.0 / Critical | 細工したHAパケットにより、super_admin権限のコマンド実行につながるおそれ | FGSPとstandalone-config-syncの併用、またはautoscale |
HAの脆弱性：一般的な「二重化すべて」ではない
CVE-2026-126259で特に重要なのは、HAの種類と通信が届く場所です。FGSP（FortiGate Session Life Support Protocol）と独立した設定同期を組み合わせた構成、またはautoscaleを使った構成が挙げられています。HA用パケットを届けられるネットワーク位置から悪用される問題であり、「インターネット上の誰もがあらゆるFortiGateを即座に乗っ取れる」と解釈するのは誤りです。
一般的なFGCPアクティブ・パッシブ構成を、この条件だけで同じ影響範囲と決めつけることもできません。一方、同期ネットワークが意図せず他のセグメントと接続していないかは確かめてください。修正までの暫定措置として、Fortinetはこの問題に対応する仮想パッチの情報も示していますが、利用可否は機器・ライセンス・データベースの条件に依存します。
BGP：ネイバーが設定されていることが重要
CVE-2026-126254は、設定された内部BGP（iBGP）のピアが細工した属性を送るという条件で説明されています。外部から無認証で管理画面へ接続する攻撃ではありません。複数拠点間のSD-WANやADVPNでBGPを使っている場合、ピアの設定、経路情報の伝搬範囲、監視状況を確認してください。
OSPF：不正な経路情報を流されるおそれ
CVE-2026-126253はOSPFデーモンの認証回避です。OSPFはルーター同士が経路情報を交換する仕組みで、LSAはその情報を通知するメッセージです。不正なLSAを扱ってしまうと通信経路の混乱につながり得ます。ただし、攻撃者がどのネットワーク位置から成立させられるのか、OSPFを使わない環境が完全に対象外かについては、確認できた情報だけでは断定できません。
Critical以外にも5件：SSH・カーネル・SSL VPNなど
| CVE | 深刻度 | 概要 |
|---|---|---|
| CVE-2026-126256 | High / 7.4 | カーネルの境界外アクセス。特定機能の利用有無だけで対象外と判断できない |
| CVE-2026-126255 | High / 7.4 | SSHにおけるパストラバーサルと認証回避。「GPC OS Login」が有効な構成が条件と報告 |
| CVE-2026-126258 | High / 7.1 | WADプロキシのバッファオーバーフロー。対象は8.0.0と7.6.7と報告 |
| CVE-2026-121528 | High / 7.7 | SSL VPN Webポータルが接続するバックエンドの証明書検証に関する不備 |
| CVE-2026-121530 | Medium / 5.9 | RADIUS認証を使う管理者の二要素認証に関する不備 |
特にカーネルの問題は、OSPFやBGPを使っていないことだけを理由に安心できません。またSSL VPNの証明書に関する問題は、修正版への更新とあわせて証明書エラー時の動作設定も確認する必要があります。8件すべてが同じ攻撃方法・同じ影響バージョンというわけではありません。個別の適用条件は各PSIRTアドバイザリを照合してください。
FortiGateのバージョンを確認する方法
方法1：管理画面から確認
管理画面のダッシュボードで「System Information（システム情報）」などのファームウェア表示を確認します。項目名はFortiOSの版や画面構成で異なります。表示される「7.4.12」のような数字を記録し、上の修正版一覧と照らし合わせてください。
方法2：CLIで確認
CLIを利用できる管理者は、次の読み取り用コマンドで実際の稼働バージョンを確認できます。
get system status出力のVersion行を確認します。例えば「v7.4.12」と表示されれば、7.4系の今回の修正版「7.4.13」より前です。機器名だけで対象・非対象を判断せず、実際のファームウェアを基準にします。
OSPF・BGP・HAの利用状況を調べるコマンド
以下はFortinetのコマンド体系を参考にした設定確認用の例で、この記事の執筆時点で実機動作を検証したものではありません。FortiOSの版、VDOM構成、権限によって表示や使用可否が異なります。
| 確認対象 | CLIの例 | 見たいポイント |
|---|---|---|
| OSPF | get router info ospf neighbor | OSPFの隣接ルーターがあるか |
| BGP | get router info bgp summary | BGPネイバーの有無。同じAS番号を持つiBGPピアを確認 |
| FGSP | show system standalone-cluster | セッション同期のピア構成 |
| HA設定同期 | show system ha | standalone-config-syncなどの設定 |
| Autoscale | show system auto-scale | autoscaleが有効か |
VDOMを利用している場合は該当VDOMでルーティング設定を確認します。上記でネイバーが表示されないことだけを根拠に、他VDOMや停止中の設定、カーネルの脆弱性まで対象外と判断しないでください。設定コマンドは参照用であり、ここで設定変更や通信停止を伴う作業は求めません。
更新前後の実務チェックリスト
- 資産を棚卸し：機種名・シリアル・FortiOS版・設置場所・インターネット公開状況・保守担当を一覧化する。
- 優先順位を決定：該当するHA/ルーティング構成、外部公開、管理用ネットワークの到達範囲と、停止時の業務影響を確認する。
- 構成をバックアップ：現行設定、HA構成、ルート、VPN、証明書、ライセンス、保守連絡先を保全する。
- 正しいアップグレード経路：Fortinet Upgrade Path Toolで、機種・現行版・目標版に必要な中継アップデートを確認する。FortiManager／FortiAnalyzerやFortiAP等の互換性、リリースノートも照合する。
- 保守時間を確保：HA切替や再起動を含む停止・切り戻し手順を用意し、段階的にアップデートする。
- 適用後の確認：「get system status」で版を再確認し、VPN接続、経路、HA同期、業務通信、ログ転送を試験する。
「管理画面へのアクセスを社内IPに限定する」「MFAを必須にする」は有効な防御策ですが、今回のルーティング・HA通信の問題そのものを解消するものではありません。 更新をすぐ実施できない場合は、管理インターフェースの露出を抑えつつ、同期・経路制御ネットワークの分離、仮想パッチの適用条件、監視強化を保守会社と確認してください。
脆弱性はすでに悪用されている？日本国内の被害は？
2026年11月11日に確認した関連報告では、今回取り上げたFortiOSの8件は「Known Exploited: No（悪用確認なし）」とされています。「攻撃できないことが証明された」「日本で被害がゼロ」と同じ意味ではありません。 本記事の調査では、今回の8件にひも付く国内企業の侵害事例を裏付ける公式発表は確認できていません。
Fortinetは10月22日に修正プログラムを提供し、11月10日に脆弱性の詳細を開示しています。差分解析等によって悪用の試みが変化する可能性もあるため、未更新の機器を放置しないことが重要です。ログに異常がある場合は証跡を保全し、保守会社やインシデント対応担当へ連携してください。
よくある質問
FortiOS 7.4.13に更新済みなら追加更新が必要ですか？
今回紹介した8件については、11月11日時点の公開情報では7.4.13で修正済み、または7.4系が対象外です。ただし、別の脆弱性やサポート期限まで解消されたとは限りません。 PSIRTと保守契約情報は継続確認してください。
FGCPでアクティブ・パッシブ構成にしているだけでも危険ですか？
CVE-2026-126259の説明で明示されるのはFGSPと設定同期の併用、またはautoscaleです。一般的なFGCP構成という理由だけで該当すると断定できません。ただし、稼働版に他の脆弱性があれば更新は必要です。
OSPFもBGPも使っていなければ更新しなくてよい？
いいえ。カーネルやSSH、WAD、SSL VPNなど、別の機能に関する脆弱性があります。利用条件が一致しない個別CVEの緊急性は下がっても、今回の修正リリース全体を不要とは判断できません。
FortiManagerやFortiAnalyzerも同じバージョンへ更新しますか？
同じ数字とは限りません。両製品にも別の重大脆弱性がありますが、FortiOSとは更新対象の系列・版が異なります。対象製品ごとにFortinet公式一覧を照合してください。
まとめ：まず稼働版を確認し、構成に応じて修正版へ
FortiOSの11月10日公表分は8件で、CriticalはHA・BGP・OSPFに関する3件です。情シス担当者は稼働バージョンの把握 → HA・経路制御の構成確認 → 正しいアップグレード経路とバックアップ → 更新後の疎通・ログ確認の順に進めてください。悪用の公式確認がなくても、Fortinetはセキュリティ更新を優先作業として扱うよう勧めています。
出典・更新履歴
- Fortinet公式：複数製品のセキュリティ強化リリース（2026年10月22日公開、11月10日更新）
- Fortinet PSIRT FG-IR-26-273：HA・CVE-2026-126259
- Fortinet PSIRT FG-IR-26-268：BGP・CVE-2026-126254
- Fortinet PSIRT FG-IR-26-267：OSPF・CVE-2026-126253
- Fortinet PSIRT FG-IR-26-270：カーネル・CVE-2026-126256
- ナウレッジ：FortiOSの重大3件と対策（2026年11月11日）
- オーストラリア政府ACSC：Fortinet製品の更新勧告（2026年10月）
初版：2026年11月11日（日本時間）。メーカー公式の更新版数を確認し、個別CVEの詳細は関連報道とも照合しました。確認時点でFortinet PSIRT個別ページの全文取得には制限があったため、個別CVEの最新の条件・記載変更は上記公式リンクから再確認してください。掲載画像は説明用の独自イメージであり、Fortinet公式の管理画面や事故の記録ではありません。
