FortiManagerとFortiAnalyzerに認証不要RCE｜API・FGFM・OFTP別の更新先を確認

Fortinetは2026年11月10日、FortiManagerとFortiAnalyzerなどの管理・分析基盤について、認証されていない攻撃者によるコードやコマンドの実行につながる3件の脆弱性を公表しました。JSON API、機器管理用のFGFM、ログ転送などに使うOFTPがそれぞれ入口になります。対象製品を使う運用担当者は、版番号と該当機能への到達経路を照合し、修正版の適用と必要な暫定制限を進めてください。

特に注意したいのは、10月のセキュリティ強化リリースを適用していても、すべての問題への対応が完了したとは限らないことです。11月11日の確認時点で、JSON APIの問題に対するFortiManager／FortiAnalyzer 8.0.3などは公式告知で「提供予定」とされています。公開Webサービスを支える機器の管理やログ収集をこれらに依存する構成では、管理基盤そのものの更新状態を別途点検する必要があります。

3件は別の通信経路から成立する

CVE・告知	入口と成立条件	公式の深刻度
CVE-2026-126170／FG-IR-26-219	JSON APIが有効な対象製品に細工したHTTP要求が届く場合。既定では無効	Critical、CVSS v3.1 9.8
CVE-2026-126261／FG-IR-26-275	FortiManagerのFGFMポートへ到達し、細工したパケットを送れる場合	Critical、CVSS v3.1 9.0
CVE-2026-126262／FG-IR-26-276	FortiAnalyzer、またはFortiAnalyzer機能を使うFortiManagerのOFTPポートへ到達できる場合	Critical、CVSS v3.1 9.3

3件とも公式ページのKnown Exploitedは「No」です。これは提供元が既知の悪用を示していないという確認結果であり、攻撃が起こらないことや、自社が侵害されていないことの証明ではありません。本稿や構造化メタで代表値として示す9.8はCVE-2026-126170の値です。他の2件のスコアや全製品の危険度へ一律に流用しません。

Fortinetのセキュリティ強化リリースの説明は10月21日公開、11月10日更新です。一方、ここで扱う個別告知3件の初回公表日は11月10日です。先行した更新案内の日付と、具体的な脆弱性の開示日を分けて管理してください。

JSON APIの問題は8.0.2でも残る

FG-IR-26-219「JSON Injection in JRPC API」は、出力のエンコードやエスケープの不備によって、認証前のHTTP要求から不正なコードやコマンドが実行されるおそれがあると説明しています。JSON APIが有効な場合に限って存在する問題で、既定設定では無効です。自動化や外部連携のために有効にした管理者プロファイルがないか確認します。

製品・系列	影響範囲	CVE-2026-126170の対応
FortiManager／FortiAnalyzer 8.0	8.0.0～8.0.2	提供予定の8.0.3以降、または回避策
同Cloud版 8.0	8.0.1～8.0.2	提供予定の8.0.3以降、または回避策
上記4製品の7.6	7.6.0～7.6.7	7.6.8以降
FortiAnalyzer-BigData 7.6	7.6.0～7.6.2	提供予定の7.6.3以降、または回避策

このCVEについて、上記製品の7.4系と7.2系は公式表で影響なしとされています。ただし後述するFGFMやOFTPの問題では影響範囲が異なります。また、同告知はFortiSASE-Sovereignも対象とし、25、25.3、25.4は修正済みリリースへの移行を案内しています。26.2は未リリース段階でFortinetが修正したため、利用者側の操作は不要と説明されています。

公式の回避策は、JSON APIを有効にしたプロファイルで次の設定を行い、無効化するものです。以下は公式の設定例であり、プロファイル名は実環境に合わせます。

config system admin profile
  edit <profile name>
    set rpc-permit none
end

変更前に、そのプロファイルを使う構成管理、監視、バックアップ、定期ジョブを一覧化してください。APIを止めると必要な自動化も失敗し得ます。回避策の適用、関連ジョブの停止または代替手順、修正版が利用可能になった後の更新を一つの作業計画にします。GUIへログインできることだけで、API無効化の結果を確認したことにはなりません。

FGFMの登録パスワードだけでは防げない

FG-IR-26-275は、FortiManagerのFGFMに認可の不備があり、FGFMポートに到達する未認証の攻撃者がコードやコマンドを実行できるとしています。告知の題名は、登録パスワードを検証する前に権限昇格が生じることを示しています。そのため、登録パスワードを設定したという事実を、この脆弱性への修正の代わりにしないでください。

FortiManagerの系列	影響範囲	修正版
8.0	8.0.0	8.0.1以降
7.6	7.6.0～7.6.7	7.6.8以降
7.4	7.4.0～7.4.5	7.4.6以降
7.2	7.2.0～7.2.8	7.2.9以降

この表はCVE-2026-126261だけの修正境界です。たとえばFortiManager 7.4.6はFGFMの問題の対象から外れますが、FortiAnalyzer機能を使う場合、OFTPの問題には7.4.12以降が必要です。同様に、8.0.1へ更新してFGFMを修正しても、JSON APIの問題は8.0.2まで残ります。「一つのCVEを解消した版」と「今回必要な対応を終えた構成」を区別します。

OFTPは分析機能の有無と版を照合する

FG-IR-26-276は、OFTP処理のSQLインジェクションを扱います。OFTPポートに到達できる未認証の攻撃者が細工したパケットを送ることで、システム上のコードやコマンド実行につながるおそれがあります。対象はFortiAnalyzer、またはFortiAnalyzer機能を持つFortiManagerです。製品名だけでなく、実際に利用する分析機能も台帳に残してください。

製品	8.0系の影響範囲→修正版	7.6／7.4／7.2系の修正版
FortiAnalyzer	8.0.0～8.0.1→8.0.2以降	7.6.8／7.4.12／7.2.13以降
FortiManager（該当機能あり）	8.0.0→8.0.1以降	7.6.8／7.4.12／7.2.13以降

両製品の7.6系は7.6.0～7.6.7、7.4系は7.4.0～7.4.11、7.2系は7.2.0～7.2.12が本件の影響範囲です。管理GUIのHTTPS入口を閉じても、別のネットワーク経路からOFTPやFGFMへ届くなら、その対策だけでは十分ではありません。ネットワーク担当者や委託先へ確認するときは「管理画面を制限済みですか」ではなく、各サービスへの送信元と経路を尋ねる必要があります。

更新待ちを含めた実務上の対応順

以下は、公式の影響条件と修正情報を運用へ落とし込むための本サイトの提案です。提供元が全環境に指定した手順や、当サイトで実機検証した結果ではありません。

• 製品、系列、稼働版、Cloud／BigDataの別、分析機能、JSON APIを有効にしたプロファイルを記録する。
• GUI／JSON API、FGFM、OFTPを分け、インターネット、委託先、管理ネットワーク、他セグメントからの到達範囲を確認する。
• 不要なJSON APIは公式回避策で無効化し、必要な通信は送信元を限定する。通信制限は暫定的な露出低減として扱う。
• 製品ごとの複数CVEをまとめて照合し、全件を満たす更新先と、まだ修正版待ちの項目を分ける。
• 設定と必要なログを保全し、保守経路、復旧手順、更新後に試験する管理・ログ収集機能を決めてから反映する。

8.0.3やBigData 7.6.3を待つ構成では、公開予定という表記を配布済みと読み替えないことが重要です。ダウンロード可能な実体と、その製品に対応するリリース情報を確認してから更新します。修正版待ちの間に回避策を使った場合は、適用したプロファイル、停止したジョブ、担当者、再確認日を残し、提供開始後の更新を忘れないようにします。

更新後は、画面上の版だけでなく、機器管理の接続、設定取得・配布、ログの到着、定期ジョブの成功を確認します。JSON APIを再有効化する場合は、修正版が稼働していることを先に確かめ、不要なプロファイルまで戻さないようにします。正常性試験の組み立て方は、緊急パッチを安全に適用する実務ランブックで詳しく整理しています。

更新と侵害調査は別の完了条件にする

今回確認した3件の個別告知には、利用者向けの詳細なIOCや、侵害の有無を一つのコマンドで判定する手順は示されていません。存在しない検出方法を追加するのではなく、変更前後の管理操作、設定差分、想定外の接続元、ログ転送の欠落を確認するところから始めます。ログがないことを侵害なしと断定せず、取得できた期間と範囲を記録してください。

不審な管理者追加、説明できない設定変更、機器管理やログ収集の異常などが見つかった場合は、通常の更新完了とは分けて調査します。証拠を保全し、信頼できる管理端末から対応し、必要に応じてFortinetや保守事業者へ相談します。更新しても侵害は消えない場合の証拠保全と再構築も、パッチ適用と既存の侵害痕跡の処理を分ける際の参考になります。

対応完了の基準は「10月更新を入れた」ではなく、対象資産ごとに3件の適用条件を説明でき、修正版または公式回避策を反映し、必要な管理・分析機能の正常動作を確かめた状態です。外部へ開かれた管理基盤から優先しつつ、APIを閉じたことでFGFMやOFTPまで守れたと誤認しない運用が求められます。