目次（4）
CVE-2025-46773
CVE-2026-23705
CVE-2026-23706
CVE-2026-23707
Fortinet が 10 月 13 日付の勧告（FG-IR-26-178）で、FortiAnalyzer と FortiManager（クラウド版を含む）の SQL インジェクション 4 件を公表しています。CVE-2025-46773、CVE-2026-23705、CVE-2026-23706、CVE-2026-23707 です。修正版が出ています。CISA の KEV には載っていません。EPSS は公開直後の 10 月 30 日時点で 0.31〜0.34% です。
4 件の概要
勧告の CWE はいずれも CWE-89（SQL インジェクション）です。勧告の見出しは「SQL インジェクションによる任意のファイルの読み書き」で、低い権限のユーザーが細工したリクエストで任意のコマンドを実行できる可能性があるとしています。
| CVE | Fortinet の CVSS v3.1 | 必要な権限 | 対象製品（勧告の記載） |
|---|---|---|---|
| CVE-2025-46773 | 7.9（High） | 低 | FortiAnalyzer、FortiAnalyzer Cloud |
| CVE-2026-23705 | 6.5（Medium） | 高 | FortiAnalyzer、FortiAnalyzer Cloud、FortiManager |
| CVE-2026-23706 | 5.9（Medium） | 低 | FortiAnalyzer、FortiAnalyzer Cloud、FortiManager |
| CVE-2026-23707 | 6.5（Medium） | 高 | FortiAnalyzer、FortiAnalyzer Cloud、FortiManager、FortiManager Cloud |
どれも攻撃はネットワーク経由で、ログイン済みのアカウントが前提です（利用者の操作は不要）。勧告の CVSS ベクターには、攻撃コードの成熟度が概念実証レベル（E:P）との指標が付いています。
影響を受ける版と対処
| 製品 | 影響を受ける版 | 対処 |
|---|---|---|
| FortiAnalyzer 8.0 | 対象外 | 不要 |
| FortiAnalyzer 7.6 | 7.6.0〜7.6.4 | 7.6.5 以降へ |
| FortiAnalyzer 7.4 | 7.4.0〜7.4.7 | 7.4.8 以降へ |
| FortiAnalyzer 7.2 | 全バージョン | 修正版のリリースへ移行 |
| FortiAnalyzer Cloud 7.6 | 7.6.2〜7.6.4 | 7.6.5 以降へ |
| FortiAnalyzer Cloud 7.4 | 7.4.1〜7.4.7 | 7.4.8 以降へ |
| FortiAnalyzer Cloud 7.2 | 7.2.1〜7.2.11 | 7.2.12 以降へ |
| FortiManager 8.0 | 対象外 | 不要 |
| FortiManager 7.6 | 7.6.0〜7.6.4 | 7.6.5 以降へ |
| FortiManager 7.4 | 7.4.0〜7.4.6 | 7.4.7 以降へ |
| FortiManager 7.2 | 全バージョン | 修正版のリリースへ移行 |
| FortiManager Cloud 7.6 | 7.6.2〜7.6.4 | 7.6.5 以降へ |
| FortiManager Cloud 8.0・7.4・7.2 | 対象外（7.4・7.2 は勧告の表記では全バージョンが影響範囲に入っていますが、対処は「対象外」です） | 不要 |
FortiManager Cloud 7.4・7.2 は、影響範囲の一覧と対処の記載が食い違っています。該当する場合は Fortinet の勧告ページで直接確認してください。
対応の考え方
- FortiAnalyzer は 7.6.5 または 7.4.8、FortiManager は 7.6.5 または 7.4.7 以降へ更新してください。7.2 系は修正版のない系統で、勧告は移行を求めています。
- 両製品は多数の Fortinet 機器のログと設定を集める管理基盤です。攻撃を受けた場合の影響が広いため、管理画面や API を信頼できないネットワークに出さないでください。
- 悪用には低〜高の権限のアカウントが必要です。管理アカウントの棚卸しと、不要なアカウントの停止も有効です。
- 勧告公開（10 月 13 日）以降の管理操作とログに、見覚えのないクエリやファイルの読み書きがないかを確かめてください。
確認できていない点
- 勧告には、攻撃が実際に確認された記載はありません。KEV にも載っていません。
- 4 件の NVD の評価は、今回の確認では取得できていません（API の応答がなかったため）。数値は Fortinet の勧告（CSAF）のものです。
- 具体的な脆弱箇所（どの機能のどのパラメータか）は、勧告に書かれていません。
- Fortinet の同日付の勧告には、FortiMail webmail の SQL インジェクション（FG-IR-26-184）など、別の件もあります。この記事では扱いません。
この記事について
- 執筆・編集
- World Security 編集部
出典
- Fortinet PSIRT FG-IR-26-178（CSAF）（Fortinet PSIRT）
- FortiGuard IR Advisories（RSS）（Fortinet）
- FIRST EPSS API（FIRST）
- CISA Known Exploited Vulnerabilities Catalog（JSON）（CISA）
