自社でFortiGateファイアウォールを使っている場合は、稼働中のブランチに応じて、FortiOSを今すぐ8.0.2、7.6.8、7.4.13、または7.2.14に更新してください。Fortinetは2026年10月21日、10月22日から提供しているこれらのバージョンが、最先端のAIモデルの助けを借りて見つけた重大および高深刻度の脆弱性を修正するものであり、詳細を11月10日に公開すると発表しました。その日以降、攻撃者は皆どこを狙えばよいかを知り、未更新の機器は格好の標的になります。更新に必要なのは通常短いメンテナンス時間だけで、先送りすることこそが本当のリスクです。

Fortinetは具体的に何を発表したのか

Fortinetの最高情報セキュリティ責任者であるCarl Windsor氏は、«Fortinet Releases Security Hardening Release for Multiple Products»と題した公式発表を公開しました。それによると、今回の修正は最先端のAIを使うセキュリティテストプログラムから生まれたもので、Anthropic、OpenAI、Google、SpaceXの4つの外部組織と共同で実施されています。FortinetはまだCVE番号もスコアも公開しておらず、それらは11月10日のPSIRTアドバイザリで公開されます。今月初めには悪用されたFortiMailの脆弱性を取り上げましたが、今回のリリースはファイアウォール本体を対象とするため、より範囲が広いものです。

なぜ11月10日まで待つべきではないのか

理由はFortinet自身が説明しています。AIツールによって攻撃者は旧バージョンと新バージョンを比較し、その差分から脆弱性を割り出し、数週間ではなく数時間から数日で実際に動く攻撃コードを作れるようになりました。修正を公開すること自体が秘密の一部を明かすことになるため、10月22日から11月10日までの19日間は安全な猶予期間ではなく、競争です。さらにFortinetは、AIが深刻度の低い脆弱性をつなぎ合わせて悪用可能にすることもできると付け加えています。

最も危険にさらされているのは、社員がFortiGate上のVPN経由でリモートワークをしている企業、それを通じて支店や倉庫を本社とつないでいる企業、そしてオフィスの外からインターネット経由で機器を管理している企業です。こうした場合、機器はインターネット上の誰からも見えており、詳細が公開されれば攻撃者が真っ先に試す対象になります。外部の業者が機器を管理しているなら、更新済みだと思い込まず、新しいバージョン番号とアップグレード日を書面で確認してもらいましょう。

必要なバージョンは

  • FortiOS（FortiGateのOS）：8.0ブランチは8.0.2、7.6は7.6.8、7.4は7.4.13、7.2は7.2.14、またはそれ以降のバージョン。
  • FortiManagerとFortiAnalyzer（集中管理とログ）：8.0.2、7.6.8、7.4.12、7.2.13以降。
  • FortiMail（メールゲートウェイ）：8.0.2、7.6.7、7.4.9。7.2ブランチは7.4以降への移行が必要です。
  • FortiAuthenticator（認証）：8.0.4と6.6.11以降。

お使いの機器がこの一覧にないブランチで動いている場合は、そのブランチにまだセキュリティ更新が提供されているかを業者に確認してください。提供されていなければ、より大きなアップグレードが必要です。

今週IT担当者に依頼すべき五つのステップ

  1. 棚卸し：本社と各支店にあるすべてのFortiGateとFortiManagerを、それぞれのバージョンとともに一覧にします。
  2. インターネットに面した機器を優先：Fortinetが推奨するとおり、社員のVPN接続を受ける、または支店同士をつなぐファイアウォールを最初に更新します。
  3. アップグレード前に設定をバックアップ：不具合が起きたときに元に戻せるようにします。
  4. 正しいアップグレードパスに従う：離れたバージョン間を移る場合は中間ステップが必要になることがあり、Fortinet公式のアップグレードパスツールがそれを示します。
  5. ログを確認：機器への見慣れない管理者ログインがないか調べます。発表でも明確に推奨されています。

すぐに更新できない場合

応急措置として、Fortinetは管理インターフェース（HTTPSとSSH）を信頼できるIPアドレスに限定すること、インターネット側インターフェースでの管理を無効にすること、管理者アカウントごとに強力で固有のパスワードを使うこと、すべての管理者に多要素認証を必須にすることを推奨しています。これらの対策はリスクを下げますが、なくすわけではありません。アップグレードまでのつなぎであり、代わりにはなりません。

いつまでも来ない都合のよいタイミングを待つより、今アップグレード日を決めるほうがよいでしょう。平日の夜か週末を選び、短時間の停止があり得ることを社員と支店に事前に知らせ、終わったら各機器と新しいバージョン番号を一覧にした簡単な報告をチームに求めてください。そうすれば、次の重大な更新が公開されたときに参照できる明確な記録が残ります。

Origamiの見解

ファイアウォールは会社とインターネットをつなぐ扉ですが、多くの企業は導入したまま何年も忘れてしまいます。変わりつつあるのは、脆弱性を見つけるのと同じAIツールを攻撃者も手にしたことで、修正の公開から悪用までの時間がどんどん短くなっている点です。だからこそ私たちは、どの会社にも書面のルールが必要だと考えています。誰が機器を更新するのか、重大な修正から何日以内に行うのか、そして誰がそれを確認するのか。ネットワークやインターネットに面したシステムを見直したい場合は、お問い合わせください。

出典