Fortinet

フォーティネットは、FortiSandboxおよびFortiAuthenticatorにおける2つの重大な脆弱性に対処するためのセキュリティアップデートをリリースしました。

最初の脆弱性は、CVE-2026-44277として追跡されており、同社のFortiAuthenticator Identity and Access Management（IAM）ソリューションに影響し、FortiAuthenticatorバージョン6.5.7、6.6.9、および8.0.3でパッチが適用されています。

「FortiAuthenticatorの不適切なアクセス制御の脆弱性[CWE-284]により、認証されていない攻撃者が細工したリクエストを経由して認証されていないコードやコマンドを実行する可能性があります」と、フォーティネットは火曜日のアドバイザリで述べています。

同社は、フォーティネットがホストおよび管理するIDaaS（Identity and Access Management as a Service）クラウドサービスであるFortiAuthenticator Cloud（旧名称FortiTrust Identity）は、この問題の影響を受けないと付け加えています。

本日、フォーティネットは、ゼロデイ脅威を含む悪意のある活動から保護するように設計された脆弱なFortiSandboxシステム上でリモートコード実行を実現するために悪用される可能性のある認可の欠落の脆弱性（CVE-2026-26083）にも対処しました。

「FortiSandbox、FortiSandbox Cloud、およびFortiSandbox PaaSのWEB UIにおける認可の欠落による脆弱性[CWE-862]により、認証されていない攻撃者がHTTPリクエストを経由して認証されていないコードまたはコマンドを実行する可能性があります」と同社は付け加えています。

フォーティネットは、これら2つのセキュリティ上の欠陥が悪用されているとは考えていないが、ランサムウェアや サイバースパイ攻撃では、フォーティネットの脆弱性がゼロデイとして悪用されることが多い。

例えば、2月にはFortiClient Enterprise Management Server（EMS）プラットフォームにおける別の重大な脆弱性（CVE-2026-21643）に対処しており、脅威インテリジェンス企業であるDefusedはその1カ月後に、この脆弱性が積極的に悪用されているとのフラグを立てています。

さらに最近では、米国サイバーセキュリティ・インフラストラクチャ・セキュリティ局（CISA）が4月上旬、連邦政府機関に対し、積極的に悪用される認証バイパスの欠陥（CVE-2026-35616）に対してFortiClient Enterprise Management Server（EMS）インスタンスを保護するよう命じました。

CISAは近年、積極的に悪用されているセキュリティ上の欠陥のカタログに合計24件のフォーティネットの脆弱性を追加しており、そのうち13件はランサムウェア攻撃にも悪用されています。