FortiGateの脆弱性が出たら何をする？担当者向けの確認と対処の順番

FortiGateの脆弱性が出たら、公式のアドバイザリで自社の機種、バージョン、使っている機能が該当するかを確かめ、修正版へ更新し、悪用の痕跡まで確かめます。更新だけでは足りない場合があるところが要点です。

今日やることは、次の5つ⁠をメモにして保守会社と共有することです。機種名、FortiOSのバージョン、更新の担当者、管理画面が社外から開けるか、VPNとFortiCloudのログインを使っているか。脆弱性が出てから調べ始めると、ここで時間がかかります。

この順番はFortiGateに限った話ではありません。Fortinet自身も、認証情報を狙う活動について同社だけの問題ではないとしています⁠。この記事は製品の良し悪しを論じるものではなく、使っている会社の担当者のための手順です。ネットワークの守り⁠の中で、入口の機器を預かる人に向けて書きます。

公式の情報はどこを見る？

見る場所は3つ⁠で足ります。

• FortiGuardのPSIRTアドバイザリ：影響するバージョンと修正版の基準になります
• JPCERT/CCの注意喚起：国内で特に注意が要るものが日本語で出ます
• IPAのVPN機器等に関する注意喚起（2025年10月）：製品を問わず、VPN機器の守り方を確かめられます

保守会社からの連絡を待つだけだと、連絡の遅れにそのまま影響されます。週に1回⁠は誰かがJPCERT/CCの一覧を見る、と決めておくと、取りこぼしが減ります。

アドバイザリのどこを読む？

2026年1月⁠に公開されたFG-IR-26-060（CVE-2026-24858）⁠を例に、読む欄を示します。この記事を書いた時点で確かめた内容なので、実際の判断では最新の公式ページを見てください。

Summaryの条件は読み飛ばせません。この例では、FortiCloud SSOのログインは工場出荷時には無効です。ただし、管理画面からFortiCareに機器を登録するときに、切り替えを止めなければ有効になると書かれています。「使っているつもりがない」⁠で⁠は判断できないので、設定を確かめます。

バージョンの表も、ブランチごとに修正版が違います。FortiOS 7.4⁠は7.4.11以上、7.2⁠は7.2.13以上、7.0⁠は7.0.19以上でした。8.0⁠と6.4⁠は影響なしと書かれています。

確認と対処はどの順番で進める？

2の判断は、社長や工場長に伝える材料になります。Known Exploitedが「Yes」⁠で⁠、対象の機能を使っているなら、計画停止を待たずに動く根拠になります。悪用の情報がなく、社内からしか使えない機能なら、次の保守日に回す判断もありえます。

3では、Fortinetのベストプラクティス⁠が示すとおり、リリースノートの既知の問題を読みます。更新は公式のアップグレードパスのツール⁠に従って進めます。今のバージョンから修正版へ一度に上げられない場合があるからです。

更新で機能が変わることも確かめます。たとえばFortiOS 7.6.3⁠のリリースノートは、SSL VPNのトンネルモードがどの機種でもサポートされなくなり、IPsec VPNへの移行を案内しています。社外から同じ方法でつなげなくなるおそれがあるので、VPNを使う会社は更新の前に移行の計画を確かめてください。

更新のあとに何を確かめる？

修正は、次の侵入を防ぐものです。すでに入られていた場合の後始末にはなりません。FG-IR-26-060には、攻撃者が設定ファイルを取得し、管理者アカウントを追加していたと書かれています。

JPCERT/CCのFortinet製品の認証情報の漏えいに関する注意喚起（2026年6月23日）⁠を参考にすると、確かめる点は次のとおりです。この件について、Fortinetは新しい脆弱性ではなく、過去のインシデントで取得された情報の再利用が主因との見解を示しています。JPCERT/CCは国内企業に関連する情報が含まれていることを確認しており、過去の話と片づけないよう注意を促しています。

• 身に覚えのない管理者アカウントやVPN利用者がないか
• 設定を書き出した履歴や、想定していない設定の変更がないか
• 普段使わないIPアドレスからの管理者アクセスがないか
• FortiGateに連携用のADアカウントを置いているなら、そのアカウントが社内で不正に使われていないか

正常なときの設定を保存しておくと、見比べるだけで変更を見つけられます。バックアップを取る理由は更新の失敗に備えるだけではありません。

パスワードの変更も、一度で済まないことがあります。JPCERT/CCは、管理者パスワードを再設定しても古いハッシュが残る場合があるとして、PBKDF2に対応した版への更新と追加の対応を案内しています。Fortinetの案内でも、影響を受けた機器ではセッションの終了、パスワードの再設定、管理者とVPN利用者の多要素認証が挙げられています。

すぐに更新できないときはどうする？

工場の停止日を待つ、保守会社の作業日が取れない、といった事情はあります。そのあいだの手当ては次のとおりです。

• アドバイザリの回避策を確かめる。 回避策がないものもあります。あっても修正の代わりにはなりません
• 管理画面の外部公開をやめる。Fortinetの案内は、信頼できる接続元への限定より、インターネットからの管理をなくすことを上位に置いています。IPAも管理画面を外部に公開しないよう求めています
• 管理者とVPN利用者に多要素認証を入れる
• 使っていないVPNやサービスを止める
• IPSの仮想パッチを確かめる。FortiGuard IPS⁠は仮想パッチを機能として案内していますが、対象の脆弱性に対応するか、ライセンスが有効かは個別に確かめます

手当てをしたら、更新の期限も一緒に決めて記録します。期限のない回避策は、そのまま忘れられます。

保守期限が切れている場合は、話が別です。Fortinetの案内によると、サポートを受けるには、End of Supportに達していないブランチで動かす必要があります。2026年3月⁠の時点で、7.4⁠のEnd of Supportは2028年11月11日⁠、7.6⁠は2030年1月25日です。古い機種は上げられる版に制限があることもあるので、IPAの注意喚起⁠のとおり更新か廃棄を検討します。入れ替えの比較にはUTM・ファイアウォール機器の製品比較と、UTMの比較で見る7項目⁠が使えます。

侵入された疑いがあるときは？

慌てて初期化しないでください。Fortinetの手順も、初期化や再読み込みの前に、ログと設定のバックアップ、診断の出力を保全するよう求めています。保全したものがないと、どこまで入られたかを後から調べられなくなります。

すぐに保守会社とFortinetのサポートに連絡します。JPCERT/CCのサイトにもインシデント報告の窓口があります。社内では、次の3点⁠を社長に伝えます。

• 分かっていることと、まだ分からないこと
• 通信を止めた場合に業務のどこが止まるか
• 取引先や個人情報に関係する可能性があるか

警察庁の令和7年⁠の情勢報告では、ランサムウェアの被害組織へのアンケートで侵入経路はVPN機器が6割以上でした。機器だけ直して社内を調べない、という終わり方は避けてください。JPCERT/CCも、FortiGate側の対処だけでは防ぎきれない経路が残るとして、社内のActive Directoryの確認を求めています。

製造業の場合はどこに気をつける？

たとえば、本社と工場を拠点間VPNでつなぎ、夜間もラインが動いている会社の場合で考えます。

• 更新で通信が止まる時間を、工場と先に合わせます。生産計画の端末やデータの送受信が止まる範囲を確かめます
• 拠点ごとに機器があるなら、更新の順番も決めます。バージョンをそろえる必要があるかは保守会社に聞きます
• 取引先や協力会社と拠点間VPNで常時つながっているなら、相手側の機器も確かめます。JPCERT/CCは、信頼する拠点として常時接続している相手の侵害された機器から影響が及ぶ可能性に触れています

工場の担当者に「セキュリティのため止めます」⁠と言うだけでは調整が進みません。止まる範囲と時間、悪用の有無、やらない場合の影響を伝えてください。

次の脆弱性に備えて何を決める？

IPAの情報セキュリティ10大脅威2026で、組織向けの4位⁠は「システムの脆弱性を悪用した攻撃」⁠で⁠す⁠。入口の機器の脆弱性は、これからも出ると考えて体制を決めます。

保守会社との間で、次の3点⁠を決めておくと、次回の動きが短くなります。

• 緊急の更新を依頼してから着手するまでの目安
• 痕跡の確認が契約に含まれるか、結果をどの形で受け取るか
• 夜間と休日の連絡先

機器が1台なら表で管理できます。台数やサービスが増えたら、脆弱性管理ツールの製品比較が役に立つ場面が出てきます。社外から見える機器を洗い出すなら、ASMの製品比較があります。VPNそのものを見直すなら、SASEとゼロトラストの言葉の整理から考え始められます。