FortiGateの更新は済んでいますか｜悪用が確認された脆弱性と10月の一斉更新で、会社が確認すること

事務所の入口に、FortiGate（フォーティゲート）という機器が付いていませんか。Fortinet社のファイアウォールやUTMで、中小企業でも広く使われています。リース契約の一部になっていて、名前を意識したことがないという会社も多いと思います。

この機器について、10月に動きが2つありました。ひとつは、実際の攻撃に使われたことが確認された脆弱性。もうひとつは、Fortinet社が優先度の高い変更として扱うよう求めた一斉更新です。この記事では、自社が対象かどうかの見分け方と、保守業者に何を聞けばいいかを書きます。確認することは、更新の版と、管理画面の入口の2つです。

技術の解析はしません。保守業者にそのまま送れる文面は、記事の最後に置いてあります。内容は2026年11月3日時点のものです。

10月に何があったのか

時期	起きたこと	会社への影響
4月14日	Fortinet社が脆弱性（CVE-2025-61624）を公表	この時点で修正版あり
10月14日	調査会社が、この脆弱性を使った実際の攻撃を報告	「使われている」ことが分かった
10月16日	米国のCISA（サイバーセキュリティの政府機関）が、悪用が確認された脆弱性の一覧に追加	4月の更新を見送った機器は要注意
10月22日	Fortinet社がFortiOSなどの一斉更新を公開	別の脆弱性の修正。4月の話とは別件
11月10日	一斉更新の詳しい内容が公開される予定	情報が増える見込み

つまり、話は2本あります。4月に公表された脆弱性は、半年たって攻撃に使われていたと分かったものです。10月22日の更新は、それとは別に、Fortinet社がAIを使った検査で見つけた重大な問題をまとめて直したものです。

まず、自社は対象か

対象になるのは、FortiOSという基本ソフトで動く機器です。代表がFortiGateです。見分け方は次のとおりです。

• 機器の本体に「FORTINET」「FortiGate」と書かれている
• 契約書や見積書、機器の一覧に「FortiGate」「UTM」と書かれている
• どちらも分からなければ、保守業者や、機器を入れた業者に聞く

「UTM」と書いてあっても、FortiGateとは限りません。別のメーカーの機器なら、この記事の話は当てはまりません。その場合でも、「外につながる機器の更新状況を確認する」という考え方は同じです。

確認1：更新の版

10月22日の一斉更新の修正版は、次のとおりです。

使っている系統	これ以上なら一斉更新は適用済み	4月公表の脆弱性は
FortiOS 8.0系	8.0.2	対象の一覧になし
FortiOS 7.6系	7.6.8	7.6.5以上で修正済み
FortiOS 7.4系	7.4.13	7.4.10以上で修正済み
FortiOS 7.2系	7.2.14	7.2系は全版が対象。修正された系統への移行が案内されている
FortiOS 7.0系・6.4系	今回の一斉更新の表になし	全版が対象。修正された系統への移行が案内されている

ここで見落としやすいのが、7.2系です。一斉更新の修正版（7.2.14）はありますが、4月の脆弱性の勧告では、7.2系は「全バージョンが対象」で、修正された系統へ移るよう書かれています。7.2.14に上げただけで両方が片づくとは、公式の情報からは言えません。7.2系以前を使っている場合は、7.4系以上への移行について、保守業者に確認してください。

Fortinet社は、移行の道筋はアップグレード用のツールで確認するよう案内しています。一度に最新まで上げられるとは限らないので、ここは保守業者の仕事です。

確認2：管理画面の入口

4月に公表された脆弱性の深刻度は、10点満点で6.0。「中」です。数字だけ見ると、後回しにしたくなります。ただし、これは管理者としてログインできる人が悪用する種類の脆弱性だからこの数字になっている、とも読めます。

実際の攻撃の報告では、攻撃者は先に別の経路で管理者のパスワードを手に入れて、そのうえでこの脆弱性を使って機器の奥まで入り込んでいました。つまり、管理者のパスワードが漏れた時点で、話が変わります。

そこで、版の確認と一緒に、次の3点を確かめてください。

• 管理画面（HTTPS、SSH）が、インターネット側から開けるようになっていないか
• 管理者のパスワードは、機器ごとに別で、十分に強いものか
• 管理者のログインに、2要素認証が付いているか

Fortinet社も、すぐに更新できない場合の応急処置として、管理画面に入れる接続元の限定や、外側の入口での無効化、2要素認証の設定を挙げています。ただし同社は、これらは早めの更新の代わりにはならないとも書いています。

「500台」の話について

この件の報道では「500台以上のファイアウォールが侵害された」という表現も見かけます。調査会社の報告を読むと、正確には違います。

攻撃を受けたのは、通信関連の会社がお客様の機器をまとめて管理していたサーバーでした。そこから、500台を超えるFortiGateの設定や認証の情報が持ち出されました。報告は、これらの機器が接続されたネットワークへの侵入が確認されたわけではない、と書いています。お客様側のネットワークは調査の対象外です。

中小企業にとっての教訓は、台数よりもこちらだと思います。業者が遠隔でまとめて管理している形は便利ですが、管理する側が破られると、預けた機器の情報も一緒に出ていきます。報告には、更新しても侵害は終わらない、という趣旨の指摘もあります。一度持ち出されたパスワードや証明書は、更新では無効になりません。

業者任せがいけないという話ではありません。自社で全部見るのは現実的ではないからです。ただ、「管理者のパスワードはいつ変えましたか」と年に一度聞くだけでも、確認の機会になります。

誰が更新するのか

契約の形	誰が更新するか	やること
保守契約に含まれている	保守業者	いつ、どの版にしたかを聞く
機器を買っただけで保守契約はない	自社か、機器を入れた業者	まず業者に相談。費用が別にかかることもある
回線やセキュリティの月額サービスの一部	サービスの提供会社	提供会社に確認する
担当者が退職して分からない	誰も見ていない可能性	急いで業者を探す

いちばん危ないのは、最後の形です。外につながる機器は、誰かが見ていないと古いままになります。入れた業者と連絡が取れない場合は、機器の型番が分かる写真を撮って、別の業者に相談してください。

更新のときは、機器が再起動して、社内のインターネットや拠点間の通信が一時的に止まるのが普通です。Fortinet社も、作業前に設定のバックアップを取り、作業の前後でログを確認するよう勧めています。業務時間を避けて、日時を決めて進めてください。

更新のあとに聞いておくこと

版を上げて終わりにせず、次の2つまで確認すると安心です。

1. 管理者のアカウントに、覚えのないものが増えていないか
2. ログに、覚えのない設定の変更や管理画面へのアクセスがないか

もし怪しい形跡があれば、更新だけで済ませないでください。パスワードの変更を含めて、保守業者と対応を決めます。社内のパソコンの様子がおかしいときは、「LANケーブルを今すぐ抜いてください」と言う理由も参考にしてください。

11月10日に情報が増えます

10月22日の一斉更新は、詳しい内容が11月10日に公開される予定です。公開されれば、修正の中身を調べて攻撃に使おうとする動きが出てくると考えるのが自然です。Fortinet社自身も、修正の内容から脆弱性の場所を推測されるおそれを指摘しています。

10月22日の更新がまだの会社は、できれば11月10日より前に済ませておくことをおすすめします。ただし、公表直後の情報は変わることがあります。10月のPHPの脆弱性のときも、出回った回避策の評価が数日で変わりました。判断するときは、必ず最新の発表を確認してください。

ニュースが続いて何から手をつけていいか分からないときは、サイバー攻撃のニュースを見て不安になった方へに順番をまとめています。

まとめ

• FortiGateを使っている会社は、更新の版と管理画面の入口の2つを確認する
• 一斉更新の修正版は、FortiOS 8.0.2／7.6.8／7.4.13／7.2.14以上
• 7.2系以前は、4月の脆弱性も考えて、7.4系以上への移行を業者に確認する
• 深刻度が「中」でも、実際の攻撃に使われている。管理者のパスワードと2要素認証も見直す
• 一度漏れたパスワードは、更新では無効にならない
• 詳しい内容は11月10日に公開予定。その前に更新を済ませたい

保守業者に送る文面

そのまま送っていただいてかまいません。

当社でFortiGate（またはFortinet社の機器）を使っていれば、次の点を教えてください。(1) 現在のFortiOSの版。(2) 2026年10月22日に公開された修正版（8.0.2／7.6.8／7.4.13／7.2.14以上）になっているか。(3) CISAに悪用が登録されたCVE-2025-61624の対象ではないか。7.2系以前の場合は移行の予定を教えてください。(4) 管理画面がインターネット側から開けないようになっているか。(5) 管理者のパスワードの最終変更日と、2要素認証の有無。未対応のものがあれば、作業の日程と費用もお願いします。

出典

• Fortinet社の勧告 FG-IR-26-122（CVE-2025-61624）
• Fortinet社の発表（10月22日の一斉更新）
• CISAの発表（10月16日）
• Palo Alto Networks Unit 42の調査報告