FortiGateは、インターネットと社内ネットワークの境界に設置されることが多く、VPN、管理画面、認証連携、内部ネットワークへの通信制御などを担う重要な機器です。そのため、FortiOSに脆弱性がある状態で外部公開されていると、単なる設定不備にとどまらず、未認証でのコード実行や管理者認証の迂回、SSL-VPN経由の侵入につながる可能性があります。

特に注意したいのは、「最新版へ更新したから問題ない」と判断してしまうことです。過去に脆弱な状態でインターネットへ公開されていた場合、脆弱性そのものを修正しても、不正なアカウントや設定、スクリプト、資格情報などが残っている可能性があります。

また、侵害が疑われる状態でログや設定を不用意に削除すると、攻撃者がいつ侵入し、どの範囲まで操作したのかを後から確認しにくくなります。証拠が失われる前に、現行コンフィグや各種ログを保全しながら影響範囲を確認することが重要です。

そこで本記事では、FortiGate／FortiOSで確認しておきたい主な脆弱性、危険性、緊急確認チェックリスト、侵害が疑われる場合の初動対応、フォレンジック調査で確認できるポイントまでを解説します。

FortiGate／FortiOSで注目したい主な脆弱性

FortiGateでは、脆弱性の内容によって未認証のリモートコード実行、認証迂回、SSL-VPN経由の侵入などにつながる可能性があります。運用中の機器では、まずFortiOSの正確なバージョンと外部公開状況を確認する必要があります。

CVE-2025-25249

ご提示いただいた情報では、CVE-2025-25249はFortiOSの「cw_acd」デーモンにおけるヒープベース・バッファオーバーフローとして整理されています。

影響を受ける環境では、リモートの未認証攻撃者によって任意コードを実行されるおそれがあるとされています。FortiOS 6.4.0〜6.4.16、7.0.0〜7.0.17、7.2.0〜7.2.11、7.4.0〜7.4.8、7.6.0〜7.6.3などが影響範囲として挙げられています。

暫定策としては、不要なインターフェースから「fabric」アクセスを外し、CAPWAPへの到達性を業務上必要な機器やネットワークへ限定することが示されています。

CVE-2025-53844

CVE-2025-53844は、ご提示情報では「capwapd」の境界外書き込みに関する脆弱性として整理されています。

認証済みのFortiAP、FortiExtender、FortiSwitchなどを支配した攻撃者が、FortiGate上でコード実行につなげられる可能性があるとされています。

対策版として、7.2系では7.2.12以降、7.4系では7.4.9以降、7.6系では7.6.4以降への更新が案内されています。

FortiCloud SSO関連の認証不備

2026年に公表されたFortiCloud SSO関連の問題として、ご提示情報では、FortiCloud SSOを利用している場合に別のFortiCloudアカウントに紐づく機器へログインされる可能性が挙げられています。

影響範囲として、FortiOS 7.0.0〜7.0.18、7.2.0〜7.2.12、7.4.0〜7.4.10、7.6.0〜7.6.5が示されています。

FortiCloud SSOを利用している場合は、FortiOSのバージョンだけでなく、該当機能の利用有無を優先的に確認する必要があります。

過去のSSL-VPN系脆弱性

FortiGateでは、CVE-2022-42475、CVE-2023-27997、CVE-2024-21762など、SSL-VPNを起点とした脆弱性も過去に問題となっています。

重要なのは、脆弱性を修正した後も、不正ファイルや設定、窃取された資格情報などを利用して攻撃者のアクセスが維持される可能性がある点です。

そのため、パッチ適用だけで対応を終了せず、侵害痕跡の確認と資格情報の更新まで行う必要があります。

FortiGateの脆弱性が危険な理由

FortiGateは境界装置として、外部と内部の通信、VPN、認証、管理機能などを集約していることが多いため、侵害されると影響が広範囲に及ぶ可能性があります。

SSL-VPN認証情報やセッション情報の窃取

FortiGateが侵害されると、SSL-VPNで利用する認証情報やセッション情報が攻撃者に取得される可能性があります。

窃取された認証情報がその後も有効なまま残っていると、脆弱性を修正した後でも再侵入に使われるおそれがあります。

管理者アカウントやローカルユーザーの追加

攻撃者が管理権限を得た場合、不審な管理者アカウントやVPNユーザーを追加して永続的なアクセス経路を確保することがあります。

既存の管理者一覧と比較し、見覚えのないユーザーや権限変更がないか確認することが重要です。

ポリシーやDNS、ルートの改ざん

ファイアウォールポリシー、NAT、DNS、静的ルートなどが改ざんされると、通信が意図しない経路へ迂回したり、本来遮断される通信が許可されたりする可能性があります。

設定変更履歴が残っている場合は、通常運用による変更か、不正操作によるものかを切り分ける必要があります。

内部ネットワークへの横展開

FortiGateを足場にして、LDAPやAD連携用アカウント、VPN資格情報、内部サービスへアクセスされる可能性があります。

侵害が疑われる場合は、FortiGateだけを見るのではなく、AD認証、SMB、WinRM、RDP、DNSなどの内部通信にも不審な挙動がないか確認する必要があります。

ログやバックアップ設定の無効化

攻撃者がログ送信先やバックアップ設定を変更したり、監査機能を無効化したりすると、侵入後の操作を確認しにくくなります。

ログが急に途切れている、設定バックアップが作成されなくなったといった変化も侵害確認の材料になります。

アップデートだけで侵害対応を終えない

脆弱性の修正版へ更新することは重要ですが、それだけで過去の侵害が解消されたとは限りません。

FortiGateが脆弱な状態でインターネットへ露出していた期間がある場合、更新前に攻撃者が侵入し、設定や資格情報を変更していた可能性も考慮する必要があります。

特にSSL-VPNや管理GUIを外部公開していた場合は、パッチ適用を「対応完了」ではなく、侵害有無を確認するための開始点として扱うことが重要です。

FortiGateで今すぐ確認したい項目

運用中のFortiGateで脆弱性が疑われる場合は、FortiOSのバージョンだけでなく、外部公開面、FortiCloud SSO、Fabric、管理者設定などを順番に確認します。

FortiOSのバージョンとHA構成を確認する

最初に、FortiOSの正確なバージョン、ビルド番号、機種、HA構成を確認します。

HA構成の場合は、片系だけ更新されていないといった状態がないよう、すべてのメンバーを確認してください。

get system status diagnose sys ha status

インターネットへの公開状況を確認する

WAN側からHTTPS、SSH、FGFM、SSL-VPN、IPsec VPN、CAPWAP関連の通信へ到達できる状態になっていないか確認します。

管理GUIやSSHは、原則としてインターネットへ直接公開せず、専用管理ネットワークやVPN、許可IPなどでアクセス元を絞ることが重要です。

FortiCloud SSOの利用有無を確認する

FortiCloud SSOを有効にしている場合は、該当するアドバイザリとFortiOSのバージョンを確認します。

FortiCloud SSOを利用していない環境と、利用している環境では優先度が異なるため、単純なバージョン確認だけで終わらせないことが重要です。

Fabric／CAPWAPの到達性を確認する

CVE-2025-25249の影響確認では、不要なインターフェースに「fabric」アクセスが設定されていないか確認します。

CAPWAPへ接続できる送信元についても、業務上必要なFortiAPなどの機器やネットワークに限定されているか確認してください。

設定差分と不審な管理者を確認する

管理者、VPNユーザー、APIトークン、Automation Stitch、CLI script、静的ルート、ファイアウォールポリシー、DNS、ログ送信先、証明書、FortiManager接続先などに見覚えのない変更がないか確認します。

以前の正常な設定バックアップがある場合は、現行コンフィグとの差分を取ることで不審な変更を見つけやすくなります。

認証情報の更新対象を確認する

侵害可能性がある場合は、FortiGateローカル管理者だけでなく、VPN利用者、LDAP、RADIUS、AD連携アカウント、SNMP community、APIトークン、証明書秘密鍵なども更新対象として整理します。

過去に漏えいした資格情報が再利用される可能性もあるため、現在使っていない古い認証情報が残っていないか確認することも重要です。

FortiGateの侵害が疑われる場合の初動対応

脆弱なバージョンが外部公開されていた場合や、不審な設定変更・管理ログが確認された場合は、アップデートだけでなく証拠保全と侵害範囲の確認を並行して進める必要があります。

設定とログを保全する

最初に現行コンフィグ、イベントログ、VPNログ、トラフィックログなどを保全します。

侵害の可能性がある状態で設定を大量に変更したりログを消したりすると、攻撃者の行動を追跡できなくなる場合があります。

管理面とVPNの公開範囲を絞る

管理GUIやSSL-VPNなどがインターネットへ公開されている場合は、業務影響を確認したうえで到達範囲を最小化します。

不要な公開は停止し、必要なアクセスだけを許可IPや専用管理網などへ限定します。

HAを含む全ノードを対策版へ更新する

影響を受けるFortiOSを利用している場合は、HAを含む全ノードを対象に対策済みリリースへ更新します。

ただし、アップデートによって脆弱性を塞いでも、それ以前の侵害痕跡が消えるわけではありません。

不審な設定やアカウントを調査する

管理者、VPNユーザー、APIトークン、ポリシー、ルート、DNS、証明書、Automation Stitch、CLI scriptなどを確認し、意図しない設定がないか調査します。

不審な項目を見つけた場合は、単純に削除して終わらせず、いつ追加されたのか、どの管理者操作と関連するのかを確認することが重要です。

資格情報をローテーションする

管理者、VPN、LDAP、RADIUS、AD、SNMP、APIトークンなど、FortiGateから参照・利用される資格情報を段階的に更新します。

攻撃者がすでに資格情報を窃取している可能性を考慮し、FortiGate本体だけでなく連携先も含めて確認する必要があります。

内部ネットワークへの横展開を確認する

FortiGate侵害後に内部ネットワークへ侵入された可能性がある場合は、AD認証、SMB、WinRM、RDP、DNSなどのログを確認します。

不審な認証失敗の急増、普段利用しない端末間通信、管理者権限での不審なログインなどがないかを確認してください。

侵害の可能性がある場合、単純に設定を削除して機器を再起動するだけでは、いつ侵入され、どの資格情報や内部システムまで影響したのか分からなくなることがあります。特に外部公開期間が長かった場合は、痕跡が消える前に証拠を保全することが重要です。

FortiGate侵害の原因と被害範囲をフォレンジック調査で確認する方法

FortiGateを対策版へ更新しても、「実際に侵害されていたか」「内部ネットワークまで到達されたか」が分からない場合があります。こうした事実関係を確認する手段として、FortiGate本体と周辺ログを横断したフォレンジック調査が有効です。

不正ログインや設定変更の痕跡

管理ログやコンフィグ差分を確認することで、見覚えのない管理者ログイン、アカウント追加、ポリシー変更、ログ設定変更などが発生していないかを確認します。

単に現在の設定を見るだけでなく、正常時の設定バックアップや周辺ログと照合することで、不審な変更時刻を整理しやすくなります。

SSL-VPNや管理画面を起点とした侵入経路

SSL-VPN、管理GUI、SSH、FGFMなどの外部公開面とログを確認し、どこから侵入された可能性があるのかを整理します。

既知の脆弱性に該当する期間と不審なアクセス時刻を照合することで、脆弱性悪用の可能性を判断する材料になります。

内部ネットワークへの横展開と認証情報利用

FortiGate侵害後に、AD、Windowsサーバー、ファイルサーバーなどへアクセスされた可能性がある場合は、FortiGateだけでなく内部側のログも確認する必要があります。

認証ログ、SMB、WinRM、RDP、DNS、EDRなどを時系列で確認することで、境界装置からどこまで攻撃が広がったのかを整理できます。

FortiGateの侵害調査では、脆弱性の有無だけではなく、「脆弱な状態だった期間に実際の侵入があったか」を確認することが重要です。設定変更やログ削除を先に行うと、証拠が失われる可能性があるため、侵害が疑われる場合は早い段階で専門調査を検討してください。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 その中でも【

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

「パソコンが遠隔操作され、詐欺にあったかもしれない…」 「会社のパソコンのログを確認したら、未知のIPアドレスから不正アクセスを受けた痕跡を見

まとめ

FortiGate／FortiOSの脆弱性では、FortiOSのバージョンだけでなく、SSL-VPN、管理GUI、FortiCloud SSO、FortiManager、Fabric、CAPWAPなどの利用・公開状況まで確認することが重要です。

特に、過去に脆弱な状態でインターネットへ公開されていた場合は、対策版へ更新しただけで侵害が解消したと判断しない方が安全です。不審な管理者、設定変更、VPNアクセス、証明書、スクリプト、資格情報などが残っていないか確認する必要があります。

また、FortiGateは境界装置であるため、侵害されると内部ネットワークへの横展開につながる可能性があります。AD認証、SMB、WinRM、RDP、DNSなども含めて影響範囲を確認し、必要なログを保全しながら調査を進めることが重要です。