米当局、「FortiClient EMS」脆弱性の悪用に注意喚起 - 侵害有無の確認も要請

Fortinetのエンドポイント管理製品「FortiClient EMS」に深刻な脆弱性が存在し、悪用が確認されていることを受け、米当局は注意喚起を行った。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年4月6日、「悪用が確認された脆弱性カタログ（KEV）」に「CVE-2026-35616」を登録した。

米国内の行政機関に対し、3日後の同月9日までに対応するよう要請。インターネットから接続でき、脆弱性の影響を受ける機器については、ベンダーのアドバイザリに従って脆弱性を解消するとともに、侵害の兆候がないか確認するよう求めている。

同脆弱性は、APIのアクセス制御に不備があり、細工したリクエストによって認証を回避し、任意のコマンドやコードを実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

Fortinetでは現地時間4月4日にセキュリティアドバイザリを公開。脆弱性の影響を回避するホットフィクスを「同7.4.6」「同7.4.5」向けに公開。利用者へ適用を求めるとともに、今後リリース予定の「同7.4.7」にて修正予定であることを明らかにしている。

（Security NEXT - 2026/04/07 ）ツイート