令和８年11月11日
お客様各位
株式会社ネットワークバリューコンポネンツ
HA経由で認証なしにコマンドを実行される脆弱性[FG-IR-26-273]
平素より弊社サービスをご利用いただき、誠にありがとうございます。
Fortinet社より、認証欠如に関する脆弱性［CWE-306］を使用した脆弱性が公開されましたので、ご案内いたします。
■概要
FortiOS には、重要な機能に対する認証の欠如の脆弱性 [CWE-306] が存在します。この脆弱性により、HA FGSP +
standalone-config-sync、または Autoscale を使用する環境において、認証されていない攻撃者が、細工した HA
パケットを送信することで、スーパー管理者権限でコマンドを実行できる可能性があります。
■対象製品と影響Versionおよび修正Version
対象製品 影響を受けるVersion 解決Version（＝Ver.UP推奨先）
FortiOS 8.0 8.0.0 8.0.1 以上にVersionUP
FortiOS 7.6 7.6.0 ～ 7.6.7 7.6.8 以上にVersionUP
FortiOS 7.4 7.4.0 ～ 7.4.12 7.4.13 以上にVersionUP
FortiOS 7.2 7.2.0 ～ 7.2.13 7.2.14 以上にVersionUP
■恒久対策
対策済みのOSにVer.UPして下さい。
■仮想パッチ
FG-VD-61445.0dayという名称の仮想パッチが、FMWP データベースアップデート 26.082 で提供されています。
■詳細情報
本脆弱性に関する最新情報は、上記Fortinet社サイトをご確認ください。
[Fortinet PSIRT Advisory FG-IR-26-273] https://fortiguard.fortinet.com/psirt/FG-IR-26-273
■お問い合わせについて
ご契約製品に関するご不明点がございましたら、以下までお問い合わせくだい。
公開情報をご確認いただいた上で、ご契約製品に関するご不明点がございましたら、以下までお問い合わせくだい。
※有効な契約のあるシリアル番号をご記載下さい。
NVCカスタマーサポート nvc-tac@nvc.co.jp (弊社営業日9:00～17:00)
