FortiGateの脆弱性が自社に当てはまるかは、機器で動いているFortiOSの版とビルド番号で判断します。版を確かめ、Fortinetの告知が示す修正版以上か、使っている系列の保守が続いているかを見ます。[1][2]
このページの要点
01今確かめたいFortinetの脆弱性
この1年に悪用が確認された件と、直近30日の深刻度「緊急」の件です。番号を押すと、一覧で詳しく確かめられます。
| 公表・更新 | 製品 | 内容 | 状態 |
|---|---|---|---|
| 2026-10-16 | Fortinet Multiple Products | Fortinet FortiOS、FortiPAM、FortiProxy、FortiSwitchManagerのパストラバーサル。管理者プロファイルを持つ認証済み攻撃者に悪用される恐れがあり、悪用が確認されている。CVE-2025-61624 | 悪用確認 |
| 2026-10-01 | FortiMail | Fortinet FortiMailのパストラバーサルとNULLバイトの不適切な処理。認証なしの攻撃者に悪用される恐れがあり、悪用が確認されている。CVE-2026-104286 | 悪用確認 |
| 2026-09-09 | Fortinet Multiple Products | Fortinet の FortiOS・FortiSwitchManager・FortiSASE でヒープバッファオーバーフローが発生し、細工したパケットで不正なコードやコマンドを実行できる。悪用が確認されている。CVE-2025-25249 | 悪用確認 |
| 2026-07-27 | FortiOS | Fortinet FortiOSの機密情報の不正開示。リモートの認証なし攻撃者が保護を回避できる恐れがあり、悪用が確認されている。CVE-2025-68686 | 悪用確認 |
| 2026-07-16 | FortiSandbox | Fortinet FortiSandbox、FortiSandbox Cloud、PaaSのOSコマンドインジェクション。認証なしの攻撃者が不正に実行できる恐れがあり、悪用が確認されている。CVE-2026-25089 | 悪用確認 |
| 2026-07-16 | FortiSandbox | Fortinet FortiSandboxのOSコマンドインジェクション。認証なしの攻撃者が不正なコードやコマンドを実行できる恐れがあり、悪用が確認されている。CVE-2026-39808 | 悪用確認 |
| 2026-04-13 | FortiClient EMS | Fortinet FortiClient EMSのSQLインジェクション。認証なしの攻撃者が不正なコードやコマンドを実行できる恐れがあり、悪用が確認されている。CVE-2026-21643 | 悪用確認 |
| 2026-04-06 | FortiClient EMS | Fortinet FortiClient EMSのアクセス制御不備。認証なしの攻撃者が不正なコードやコマンドを実行できる恐れがあり、悪用が確認されている。CVE-2026-35616 | 悪用確認 |
| 2026-10-26 | FortiSandbox | Fortinet FortiSandboxとFortiSandbox PaaSで、代替経路による認証回避があり、攻撃者が細工したHTTPリクエストで不正なコードやコマンドを実行できるおそれがある。CVE-2026-107656 | 緊急 |
02FortiGateのバージョン（FortiOSの版）の確かめ方
03FortiOSを上げる前と後に確かめること
04Fortinetの保守終了（EOL）
保守が終わった系列には、脆弱性が見つかっても修正版が出ません。使っている系列の保守終了日を確かめ、終了が近ければ入れ替えの予定を立てます。
FortiOS
| 系列 | 保守終了日 | 状態 | 最新版 |
|---|---|---|---|
| 8.0 | 2030-10-21 | 残り1440日 | — |
| 7.6 | 2030-01-25 | 残り1171日 | — |
| 7.4 | 2028-11-11 | 残り731日 | — |
| 7.2 | 2026-09-30 | 保守終了 | — |
| 7.0 | 2025-09-30 | 保守終了 | — |
| 6.4 | 2024-09-30 | 保守終了 | — |
出典：endoflife.date（2026-11-03取得）
05悪用が確認されたFortinetの脆弱性（KEVの全件）
米CISAのKEVに載ったFortinetの脆弱性32件を、追加日の新しい順に並べています。全ベンダーの一覧はKEVの日本語一覧にあります。
FortinetのKEVの全件（32件）を飛ばす| KEVへの追加 | 製品 | 内容 |
|---|---|---|
| 2026-10-16 | Multiple Products | Fortinet FortiOS、FortiPAM、FortiProxy、FortiSwitchManagerのパストラバーサル。管理者プロファイルを持つ認証済み攻撃者に悪用される恐れがあり、悪用が確認されている。CVE-2025-61624 |
| 2026-10-01 | FortiMail | Fortinet FortiMailのパストラバーサルとNULLバイトの不適切な処理。認証なしの攻撃者に悪用される恐れがあり、悪用が確認されている。CVE-2026-104286 |
| 2026-09-09 | Multiple Products | Fortinet の FortiOS・FortiSwitchManager・FortiSASE でヒープバッファオーバーフローが発生し、細工したパケットで不正なコードやコマンドを実行できる。悪用が確認されている。CVE-2025-25249 |
| 2026-07-27 | FortiOS | Fortinet FortiOSの機密情報の不正開示。リモートの認証なし攻撃者が保護を回避できる恐れがあり、悪用が確認されている。CVE-2025-68686 |
| 2026-07-16 | FortiSandbox | Fortinet FortiSandboxのOSコマンドインジェクション。認証なしの攻撃者が不正なコードやコマンドを実行できる恐れがあり、悪用が確認されている。CVE-2026-39808 |
| 2026-07-16 | FortiSandbox | Fortinet FortiSandbox、FortiSandbox Cloud、PaaSのOSコマンドインジェクション。認証なしの攻撃者が不正に実行できる恐れがあり、悪用が確認されている。CVE-2026-25089 |
| 2026-04-13 | FortiClient EMS | Fortinet FortiClient EMSのSQLインジェクション。認証なしの攻撃者が不正なコードやコマンドを実行できる恐れがあり、悪用が確認されている。CVE-2026-21643 |
| 2026-04-06 | FortiClient EMS | Fortinet FortiClient EMSのアクセス制御不備。認証なしの攻撃者が不正なコードやコマンドを実行できる恐れがあり、悪用が確認されている。CVE-2026-35616 |
| 2026-01-27 | Multiple Products | Fortinet FortiAnalyzer、FortiManager、FortiOS、FortiProxyの代替経路による認証バイパス。攻撃者に悪用される恐れがあり、悪用が確認されている。CVE-2026-24858 |
| 2025-12-16 | Multiple Products | Fortinet FortiOS、FortiSwitchMaster、FortiProxy、FortiWebの暗号署名の検証不備。認証なしの攻撃者に悪用される恐れがあり、悪用が確認されている。CVE-2025-59718 |
| 2025-11-18 | FortiWeb | Fortinet FortiWebのOSコマンドインジェクション。認証済みの攻撃者が基盤システム上で不正なコードを実行できる恐れがあり、悪用が確認されている。CVE-2025-58034 |
| 2025-11-14 | FortiWeb | Fortinet FortiWebのパストラバーサル。認証なしの攻撃者が管理コマンドを実行できる恐れがあり、悪用が確認されている。CVE-2025-64446 |
| 2025-07-18 | FortiWeb | Fortinet FortiWeb の SQL インジェクションにより、未認証の攻撃者が細工した HTTP(S) リクエストで不正な SQL を実行できる。悪用が確認されている。CVE-2025-25257 |
| 2025-06-25 | FortiOS | Fortinet FortiOSのハードコードされた認証情報の脆弱性で、既知の鍵により設定バックアップファイルの機微なデータを復号できる。悪用が確認されている。CVE-2019-6693 |
| 2025-05-14 | Multiple Products | Fortinet の FortiFone・FortiVoice・FortiNDR・FortiMail でスタックバッファオーバーフローが発生し、未認証のリモート攻撃者が細工した HTTP リクエストで任意のコードを実行できる。悪用が確認されている。CVE-2025-32756 |
| 2025-03-18 | FortiOS and FortiProxy | Fortinet FortiOS と FortiProxy の認証回避により、リモートの攻撃者が細工した CSF プロキシ要求でスーパー管理者権限を得られる。悪用が確認されている。CVE-2025-24472 |
| 2025-01-14 | FortiOS and FortiProxy | Fortinet FortiOS と FortiProxy の認証回避により、未認証のリモート攻撃者が細工したリクエストでスーパー管理者権限を得られる。悪用が確認されている。CVE-2024-55591 |
| 2024-10-23 | FortiManager | Fortinet FortiManager の fgfmd デーモンの認証欠如により、未認証のリモート攻撃者が任意のコードやコマンドを実行できる。悪用が確認されている。CVE-2024-47575 |
| 2024-10-09 | Multiple Products | Fortinet の複数製品 (FortiWeb など) の書式文字列の脆弱性により、未認証のリモート攻撃者が任意のコードやコマンドを実行できる。悪用が確認されている。CVE-2024-23113 |
| 2024-03-25 | FortiClient EMS | Fortinet FortiClient EMSにおけるSQLインジェクションの脆弱性。不正なSQLを実行される恐れがある。悪用が確認されている。CVE-2023-48788 |
| 2024-02-09 | FortiOS | Fortinet FortiOS の範囲外書き込みにより、未認証のリモート攻撃者が細工した HTTP リクエストでコードやコマンドを実行できる。悪用が確認されている。CVE-2024-21762 |
| 2023-06-13 | FortiOS and FortiProxy SSL-VPN | Fortinet FortiOS and FortiProxy SSL-VPNにおけるヒープバッファオーバーフローの脆弱性。コードを実行される恐れがある。悪用が確認されている。CVE-2023-27997 |
| 2023-03-14 | FortiOS | Fortinet FortiOSにおけるパストラバーサルの脆弱性。ファイルへ不正にアクセスされる恐れがある。悪用が確認されている。CVE-2022-41328 |
| 2022-12-13 | FortiOS | Fortinet FortiOSにおけるヒープバッファオーバーフローの脆弱性。任意のコードやコマンドを実行される恐れがある。悪用が確認されている。CVE-2022-42475 |
| 2022-10-11 | Multiple Products | Fortinet Multiple Productsにおける認証回避の脆弱性。認証を回避される恐れがある。悪用が確認されている。CVE-2022-40684 |
| 2022-09-08 | FortiOS and FortiADC | Fortinet FortiOS and FortiADC Improper Access Controlに関する脆弱性で、アクセス制御の不備などの問題が生じる。悪用が確認されている。CVE-2018-13374 |
| 2022-01-10 | FortiOS and FortiProxy | Fortinet FortiOS and FortiProxy Out-of-bounds Writeに関する脆弱性で、脆弱性などの問題が生じる。悪用が確認されている。CVE-2018-13383 |
| 2022-01-10 | FortiOS and FortiProxy | Fortinet FortiOS and FortiProxy Improper Authorizationに関する脆弱性で、認可の不備などの問題が生じる。悪用が確認されている。CVE-2018-13382 |
| 2021-12-10 | FortiOS | Fortinet FortiOS の "execute restore src-vis" が整合性検証なしでコードをダウンロードし、任意のファイルを取得され得る。悪用が確認されている。CVE-2021-44168 |
| 2021-11-03 | FortiOS | Fortinet FortiOS SSL VPNの不適切な認証で、ユーザーが第二要素を求められずにログインできる場合がある。悪用が確認されている。CVE-2020-12812 |
| 2021-11-03 | FortiOS | Fortinet FortiOSの既定構成の脆弱性で、同一サブネット上の認証なしの攻撃者が成りすましにより機微な情報を傍受できる場合がある。悪用が確認されている。CVE-2019-5591 |
| 2021-11-03 | FortiOS | Fortinet FortiOS SSL VPN Path Traversalに関する脆弱性で、パストラバーサルなどの問題が生じる。悪用が確認されている。CVE-2018-13379 |
よくある質問
FortiGateが対象かどうかは、何を見て判断しますか？
FortiOSの版とビルド番号です。管理画面の［System Information］の［Firmware］か、CLIのget system statusで確かめ、Fortinetの告知の対象の版と修正版の表に当てます。[1][2]
FortiOSは、最新版へ一度に上げられますか？
今の版によっては、途中の版を通る必要があります。FortinetのUpgrade Path Toolの表で順番を確かめ、設定のバックアップを取ってから上げます。[1]
上げた後に確かめることはありますか？
get system statusで、動いている版が目標の版と一致しているかを確かめます。[1]
出典・参考資料
- Fortinet Document Library：How to upgrade（FortiOS 7.0 Firmware Upgrade Guide）2026-11-11確認 ／ ［System Information］の［Firmware］の欄、Upgrade Path Tool、設定のバックアップ、get system statusでの確認
- FortiGuard Labs：PSIRT Advisories2026-11-11確認 ／ Fortinetの告知の一覧と絞り込み
- 米CISA：Known Exploited Vulnerabilities Catalog2026-11-11確認 ／ 悪用が確認された脆弱性の一覧