米当局、「FortiWeb」の脆弱性悪用に注意喚起

Fortinetのウェブアプリケーションファイアウォール（WAF）製品「FortiWeb」に深刻な脆弱性が見つかった問題で、米当局が注意を呼びかけている。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2025年11月14日、「悪用が確認された脆弱性カタログ（KEV）」へ「CVE-2025-64446」を追加した。

米国内の行政機関へ同月21日までに同脆弱性への対策を講じるよう求めており、インシデントや異常な動きを検知した場合は同庁へ報告する必要がある。また脆弱性は広く悪用されるおそれがあるとして、利用者に対して広く注意を呼びかけた。

「CVE-2025-64446」は、パストラバーサルの脆弱性。細工したリクエストにより管理者権限によりコマンドを実行されるおそれがある。

今回のアナウンスに先がけて同日、Fortinetではセキュリティアドバイザリを公開していた。修正版へアップデートするよう呼びかけるとともに、予期しない変更や不正な管理者アカウントの追加などが行われていないか、構成やログを確認するよう求めている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」。「FortiWeb 8.0」「同7.6」「同7.4」「同7.2」「同7.0」など幅広いブランチに影響があるという。

（Security NEXT - 2025/11/15 ）ツイート