米当局、「FortiOS」「VeloCloud Orchestrator」の脆弱性悪用を確認

米当局は、「FortiOS」や「VeloCloud Orchestrator」に判明した2件の脆弱性が、サイバー攻撃に悪用されているとして注意を呼びかけた。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年7月27日、「悪用が確認された脆弱性カタログ（KEV）」へ2件の脆弱性「CVE-2026-16812」「CVE-2025-68686」を追加した。

「CVE-2026-16812」は、SD-WAN環境の統合管理製品「Arista VeloCloud Orchestrator」のオンプレミス版に判明したOSコマンドインジェクションの脆弱性。本来特権が必要とされる内部機能にアクセスされ、オーケストレータ本体や同製品が管理するデータの漏洩や改ざんにくわえて、サービス拒否などにつながるおそれもある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは最高値となる「10.0」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。CISAは現地時間7月30日を期限とし、米行政機関に対応を求めた。

一方「CVE-2025-68686」は、Fortinetのネットワーク機器向けOS「FortiOS」に判明した脆弱性。特定の修正パッチを回避され、機密情報を窃取されるおそれがある。

同脆弱性の悪用にあたっては、標的とするファイルシステムへのアクセスを事前に確保している必要があり、別の脆弱性と組み合わせて攻撃することが前提とされる。米行政機関における対応期限を8月10日とした。

（Security NEXT - 2026/07/28 ）ツイート

米当局、「FortiOS」「VeloCloud Orchestrator」の脆弱性悪用を確認

関連リンク

PR

関連記事