「FortiOS」のLDAP認証バイパス脆弱性、仮想パッチが公開

FortinetのUTM機器などに搭載されている「FortiOS」の「SSL-VPN」コンポーネントに脆弱性「CVE-2026-22153」が判明した問題で、同社は仮想パッチを公開した。

「CVE-2026-22153」は、「同7.6」ブランチにおいてLDAPサーバで特定の構成とした場合に影響を受ける脆弱性。エージェントレスVPN、またはFSSOポリシーのLDAP認証がバイパスされるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.1」と評価されており、重要度は4段階中2番目に高い「高（High）」とレーティングされている。

同社は現地時間2026年2月10日にセキュリティアドバイザリを公開。「同7.6.5」にて脆弱性を修正しており、回避策として、LDAPサーバで未認証バインドを無効化するようアナウンスしていた。

また現地時間2026年7月4日にアドバイザリを更新。IPS向けの仮想パッチ「FG-VD-10009566.0day.」をリリースしている。

（Security NEXT - 2026/07/06 ）ツイート