「FortiOS」に複数の脆弱性 - 3件が重要度「クリティカル」

Fortinetは、同社UTM機器に搭載されているOS「FortiOS」に関する複数の脆弱性を明らかにした。このうち3件の重要度を「クリティカル」としており、利用者に注意を呼びかけている。

同社は現地時間2026年11月10日、「FortiOS」に関するセキュリティアドバイザリを公開し、8件の脆弱性を明らかにした。3件については重要度が4段階中もっとも高い「クリティカル（Critical）」とされている。

「CVE-2026-126259」は、冗長機能における認証処理の不備に起因する脆弱性。「FGSP」と設定同期を組み合わせた構成、またはオートスケール構成において、細工した「HAパケット」を送信することで、認証を必要とすることなく最上位の管理者権限でコマンドの実行が可能だという。

一方、「CVE-2026-126254」は、「BGPデーモン」における数値の切り詰め処理に起因する脆弱性。設定済みの「iBGPピア」から細工した属性が送信され、接続するルータへ不正な属性が伝播するおそれがある。

さらに「OSPFデーモン」では、認証バイパスの脆弱性「CVE-2026-126253」が確認された。細工したリクエストによって認証なしに「LSA（リンク状態広告）」を送信できる。

（Security NEXT - 2026/11/11 ）ツイート