FortiGateに情報漏えいの脆弱性 CVE-2025-68686、悪用確認で点検を

世界中の企業や自治体がインターネットの出入り口に置いている法人向け機器「FortiGate（フォーティゲート）」の基本ソフト「FortiOS」に、通信を細工すると機器内部の機密情報を読み取られる弱点が見つかりました。管理番号はCVE-2025-68686です。

米政府のサイバーセキュリティ機関CISAは2026年7月27日、この弱点を「実際に攻撃されていることが確認された脆弱性のリスト」（KEV。米政府CISAが公開する、現に悪用が確認された脆弱性の一覧）に追加しました。KEVに載るということは、机上の懸念ではなく、現実の攻撃で使われているという意味です。

ただし、この弱点は単体で外部から侵入できるものではありません。深刻度も中程度にとどまります。過度に慌てる必要はありませんが、FortiGateを使っているなら「自分は対象なのか」「何を確認すればよいのか」をはっきりさせておくべき案件です。以下で条件と対処を順に整理します。

まず結論：慌てる前に確認すること

忙しい方のために、先に要点をまとめます。

今回の弱点が悪用できるのは、すでに別の弱点で一度侵入され、機器の内部ファイルに触れられる状態になっているFortiGateだけです。まっさらな機器に対して、この弱点だけを使って外から攻め込むことはできません。つまり本命は「新しい侵入口」ではなく、「過去に侵入された機器が、パッチを当てた後もこっそり情報を読まれ続けていないか」という居座り（永続化）の問題です。

やるべきことは2つです。1つはFortinetの修正版へ更新すること。もう1つ、そしてこちらの方が重要ですが、過去に侵入された痕跡がないかを点検することです。この弱点が刺さる状態にあるなら、その機器はすでに一度乗っ取られている可能性が高いためです。なお、SSL-VPN機能を使っていない機器は影響を受けません。

弱点の概要

深刻度を示すCVSSという指標は、米国立標準技術研究所（NIST）の脆弱性データベースNVDでは10点満点中5.9点、Fortinet自身のセキュリティ情報では5.3点と、いずれも「中程度」に位置づけられています。数値だけを見ると突出して高くはありません。それでもCISAがわざわざKEVに載せたのは、この弱点が「攻撃の入口」ではなく「侵入後に居座り続けるための道具」として現に使われているからです。

誰が、何のために狙うのか

狙うのは、一度あなたの会社のFortiGateに侵入し、そこに長く居座りたい攻撃者です。ばらまき型の愉快犯というより、企業ネットワークへの継続的な足がかりを欲しがる、標的型の攻撃グループが想定されます。

彼らがこの弱点でやることは、パッチを当てた後も、細工した通信を送って機器内部の設定ファイルなどをこっそり読み取り続けることです。Fortinetは2025年に「侵入された機器に居座る手口」を塞ぐ対策を配りましたが、今回の弱点はその対策をすり抜けてしまいます。管理者が「もう対処した」と安心した後も、裏口がわずかに開いたままになる、というイメージです。

その結果、失われるものは小さくありません。読み取られる設定ファイルには、管理者やVPN利用者の認証情報、社内ネットワークの構成、通信の暗号化に使う鍵などが含まれ得ます。これらが漏れれば、攻撃者は社内システムへさらに深く入り込んだり、盗んだ認証情報で正規利用者になりすましたりできます。VPNは社外から社内へ入るための「玄関」であり、そこの合鍵を握られ続けることは、企業にとって静かで深刻なリスクです。だからこそ、次に説明する「侵入済みかどうかの点検」が対策の要になります。

そもそも何が起きていたのか

今回の弱点を理解するには、FortiGateをめぐって2024年末から続く一連の攻撃の流れを知る必要があります。

始まりは2024年11月頃、CVE-2024-55591という別の弱点が、修正版が出る前から実際の攻撃に使われていた（いわゆるゼロデイ攻撃）ことでした。これは認証を回避して機器の最高権限を奪えるという深刻なもので、Fortinetは2025年1月14日に正式に公表しています。多くのFortiGateがこの時期に乗っ取られました。

問題はその後です。2025年4月、Fortinetは攻撃者が仕込んだ「居座りの仕掛け」を公表しました。侵入に成功した攻撃者は、SSL-VPNの言語ファイルを置くフォルダにシンボリックリンク（あるファイルやフォルダへの「近道」を作るOSの仕組み）を仕込んでいました。この近道が機器の内部ファイルにつながっており、持ち主がパスワードを変えてもファームを更新しても、攻撃者は設定ファイルを読み取り続けられたのです。Fortinetはこの仕掛けを除去し、再び作られないようにするパッチや検知シグネチャを配布しました。

この「侵入後も居座られる」問題は世界中の管理者を悩ませ、日本国内でも多くの機器が影響を受けたとみられます。ネットワーク機器の弱点が実際の攻撃に使われる流れは、先日報じたCisco製ファイアウォール管理ソフトの固定パスワード問題とも共通しており、インターネットの出入り口に置く機器が狙われやすい状況が続いています。

今回のCVE-2025-68686は何が新しいのか

CVE-2025-68686は、上で説明した2025年4月の「居座り対策パッチ」をすり抜ける弱点です。Fortinetの説明でも「この脆弱性は、攻撃者が別の既知の脆弱性を悪用してFortiGateのファイルシステムに読み取りアクセスを実装した結果としてのみ悪用され得る」と明記されています。

技術的に見ると、居座りを防ぐために追加された対策は、通信のリクエスト経路に特定の文字列（言語ファイル用のパス）が含まれるかどうかを照合する、いわば「合言葉チェック」でした。セキュリティメディアの分析によると、攻撃者はこのチェックのすり抜け方を見つけ、少し形を変えたHTTPリクエストを送ることで、対策済みの機器でも再び内部ファイルを読み取れるようにしました。パッチが「特定の言い回しだけ」を弾いていたために、別の言い回しで同じことができてしまった、という構図です。

この弱点を突くには、繰り返しになりますが、先に別の弱点で機器のファイルに触れられる状態を作っておく必要があります。だからこそ深刻度は「中程度」なのですが、裏を返せば、この弱点で実害が出ている機器は、すでに一度侵入されているということでもあります。KEVに載った意味はそこにあります。

自分の機器は対象か（バージョン別早見表）

Fortinetのセキュリティ情報（FG-IR-25-934）が示す、影響範囲と修正版は次のとおりです。まずは自分の機器のFortiOSバージョンを管理画面で確認してください。

なおSSL-VPN機能を有効にしていない機器は、この弱点の影響を受けません。すぐにバージョンを上げられない事情がある場合、Fortinetは仮想パッチ（機器を更新せずに攻撃を防ぐ一時的な防御。FMWPデータベースの更新26.033で提供）も用意しています。とはいえ本来の解決は修正版への更新です。使っていないなら、SSL-VPNを無効にすること自体も有効なリスク低減になります。

いま確認すべきこと

冒頭で述べたとおり、この案件で本当に大切なのはバージョン更新よりも「過去に侵入されていないか」の点検です。この弱点が悪用できる状態にある機器は、その前提として一度侵入されているからです。以下は確認済みの事実にもとづく、いま取るべき行動です。

米国では政府機関に対し、2026年8月10日までの対応が義務づけられています。日本の一般企業に法的な期限はありませんが、実際の攻撃が確認されている以上、同じ目安で動くのが安全です。実際に攻撃されている脆弱性の全体像は、当サイトのCISA KEV（実際に攻撃されている脆弱性リスト）まとめでも随時追っています。

これまでの経緯

← スワイプで移動

同じ日に追加されたもう1件の弱点

CISAが7月27日にKEVへ追加した弱点は、FortiOSともう1件ありました。Arista Networks（旧VMware）のSD-WAN管理ソフト「VeloCloud Orchestrator」の弱点（CVE-2026-16812）です。こちらはFortiOSと違い、外部から認証なしで機器を乗っ取れる最も深刻な部類（CVSS 10.0）で、こちらも実際の攻撃が確認されています。企業のネットワーク運用を一手に握る管理ソフトが狙われている点で、警戒が必要です。

FortiGateのようなネットワーク機器、Ciscoのファイアウォール管理ソフト、VeloCloudのようなSD-WAN管理ソフトと、企業ネットワークの「関所」にあたる製品が立て続けに狙われています。Security Affairsの報道でも、両者が同時にKEV入りしたことが伝えられています。

まとめ

FortiGateの基本ソフトFortiOSに見つかったCVE-2025-68686は、深刻度こそ中程度ですが、実際の攻撃で「侵入後に居座り続けるための道具」として使われていることが確認され、CISAのKEVに登録されました。単体で外から攻め込める弱点ではないため、まっさらな機器が今回の件だけで突破されることはありません。

それでも、SSL-VPNを使っているFortiGateの管理者がやるべきことは明確です。まず修正版へ更新すること、そして過去に侵入された痕跡がないかを点検すること。この弱点が刺さる状態なら、その機器はすでに一度乗っ取られている可能性が高いからです。数字の低さに安心せず、しかし過度に慌てず、自分の機器の状態を一度確かめておくことをおすすめします。

参照元

• ▸ FortiGuard Labs - SSL-VPN Symlink Persistence Patch Bypass（FG-IR-25-934）
• ▸ NVD - CVE-2025-68686 Detail
• ▸ CISA - Adds Two Known Exploited Vulnerabilities to Catalog（2026年7月27日）
• ▸ CISA Known Exploited Vulnerabilities Catalog - CVE-2025-68686
• ▸ Cyber Security News - CISA Warns of Fortinet FortiOS Vulnerability Exploited in Attacks
• ▸ Security Affairs - CISA adds Arista VeloCloud and Fortinet FortiOS flaws to KEV
• ▸ Tenable - CVE-2024-55591: Fortinet Authentication Bypass Zero-Day（背景）
• ▸ Tenable - FortiOS SSL-VPN Symlink Persistence Patch Bypass 検査情報