Fortinet

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は木曜日、政府機関に対し、フォーティネット社の脅威検知プラットフォーム「FortiSandbox」に存在する、現在悪用されている2つの脆弱性に対するパッチ適用を優先するよう指示した。

これら2つの「重大」レベルのセキュリティ脆弱性（CVE-2026-39808およびCVE-2026-25089として追跡されている）は、フォーティネットによりそれぞれ4月14日と6月9日に修正された。

同社が当時発行したセキュリティアドバイザリで詳述されているように、これらの脆弱性が悪用されると、認証されていない攻撃者が、ユーザーの操作を必要としない低複雑度のコマンドインジェクション攻撃を通じて、リモートで不正なコードを実行することが可能になる。

image

これらの問題を解決し、今後の攻撃を阻止するためには、管理者は影響を受けるすべての環境を、リリース済みの最新バージョンにアップグレードする必要があります。

フォーティネットは、これら2つの脆弱性が攻撃に利用されていることをまだ確認しておらず、実環境での悪用に関する当サイトのメールにもまだ回答していませんが、脅威インテリジェンス企業のDefusedは6月16日、攻撃者が実環境でこれらの脆弱性を悪用し始めたことを明らかにしました。

「過去24時間にわたり、複数のFortinet FortiSandboxの脆弱性が悪用されているのを確認しています。これには、CVE-2026-39813（これまでの悪用事例は記録されていない）、CVE-2026-39808、 CVE-2026-25089（vibecoded、おそらく欠陥のあるエクスプロイト）」とDefusedは警告した。

木曜日、CISAもこれらの脆弱性が実環境で積極的に悪用されていることを確認し、既知の悪用済み脆弱性のリストに追加した。拘束力のある運用指令（BOD）26-04の規定により、米国連邦機関は7月19日（日）までに、脆弱性のあるFortiSandboxインスタンスにパッチを適用しなければならない。

2月には、フォーティネットがFortiClient Enterprise Management Server（EMS）プラットフォームにおける重大なSQLインジェクションの脆弱性（CVE-2026-21643）に対処したが、Defusedは1か月後にこの脆弱性が実際に悪用されていると指摘した。

その2か月後、同社は攻撃で悪用されていた別のセキュリティ問題に対処した。それは、認証済みの攻撃者が権限を昇格させることを可能にするパストラバーサル脆弱性（CVE-2025-61624）である。

フォーティネットの脆弱性は、サイバースパイ 活動やランサムウェア攻撃（多くの場合、ゼロデイ攻撃として）で悪用されることがよくあります。CISAの追跡によると、近年攻撃で悪用されたフォーティネットの脆弱性は計28件あり、そのうち13件はランサムウェア攻撃でも悪用されています。