Fortinet FortiOS・FortiSwitchManager に認証なしでコード実行に至るヒープオーバーフロー（CVE-2025-25249）: NVD は CVSS 9.8、CISA KEV に追加済み

Fortinet の FortiOSとFortiSwitchManagerに、cw_acd デーモンのヒープバッファオーバーフロー（CVE-2025-25249）が見つかりました。Fortinet は、リモートの認証なしの攻撃者が細工したリクエストで任意のコードやコマンドを実行できる可能性があるとしています。CISA は 2026-09-09 に KEV（悪用が確認された脆弱性）カタログへ追加しました。CVSS v3.1 は NVD が 9.8、Fortinet 自身は 8.1（攻撃の複雑さ: 高）と評価が分かれています。

概要

項目	内容
CVE	CVE-2025-25249
問題	cw_acd デーモンのヒープバッファオーバーフロー（CWE-122／NVD は CWE-787）。細工したリクエストでコード・コマンド実行の可能性
対象製品	FortiOS 7.6.0〜7.6.3、7.4.0〜7.4.8、7.2.0〜7.2.11、7.0.0〜7.0.17、6.4 の全版。FortiSwitchManager 7.2.0〜7.2.6、7.0.0〜7.0.5。CISA は FortiSASE も対象に挙げている
修正版	FortiOS 7.6.4、7.4.9、7.2.12、7.0.18 以降。FortiSwitchManager 7.2.7、7.0.6 以降。FortiOS 6.4 は修正版がなく、サポート中の版への移行が必要
CVSS v3.1	NVD 9.8（AV:N/AC:L/PR:N/UI:N）。Fortinet 8.1（AV:N/AC:H/PR:N/UI:N）
NVD の状態	Analyzed
EPSS	0.0374（パーセンタイル 0.899、2026-11-02 時点）
CISA KEV	2026-09-09 追加。対応期限 2026-09-12。ランサムウェアでの利用は「不明」。CISA はフォレンジック調査（forensicTriage）を求めている

なぜ重要か

FortiOS は FortiGate などのファイアウォールの基盤で、境界に置かれることが多い製品です。ここで認証なしにコードを実行されると、通信の盗み見、設定やVPN認証情報の取得、内部ネットワークへの足がかりにつながります。KEV に載っているため、悪用が確認されたものとして扱う必要があります。一方で Fortinet は、メモリ保護（ASLR と PIE）により悪用の難度が大きく上がるとも説明しています。評価が 8.1 と 9.8 に分かれているのはこの点が背景にあると考えられます。

対策

• 自組織の FortiOS・FortiSwitchManager の版を確認し、上記の修正版以降へ更新する。FortiOS 6.4 は修正版がないため、サポート中の版へ移行する。
• 更新できない間の回避策として、Fortinet は次のいずれかを示している。
  • 各インターフェースの allowaccess から fabric を外す。
  • fabric を有効にしたインターフェースで、CAPWAP-CONTROL（UDP 5246〜5249）を local-in ポリシーで信頼する機器のみに限定し、ほかは拒否する。
• KEV の対応期限（2026-09-12）はすでに過ぎている。更新前に、不審な管理者アカウント、設定の変更、想定外の外向き通信、デーモンの異常終了や再起動の履歴がないかを確認する。
• 侵害の疑いがあれば、機器に保存された認証情報（VPN・LDAP・管理者）と証明書を更新する。

数値と出典（2026-11-03 時点）

項目	内容
NVD	Analyzed。CVSS v3.1 9.8（NVD）／8.1（Fortinet）
CWE	CWE-122（Fortinet）、CWE-787（NVD）
EPSS	0.0374（FIRST、2026-11-02）
KEV	2026-09-09 追加、期限 2026-09-12
出典	NVD、Fortinet PSIRT FG-IR-25-084、CISA KEV、FIRST

未確認の点

• 悪用の規模、攻撃者、実際の攻撃手順。Fortinet の勧告（2026-02-23 更新）には「悪用は未確認」と記載があり、KEV への追加（2026-09-09）との時間差の理由は確認できていない。
• NVD と Fortinet で評価が分かれた理由の公式な説明。
• FortiSASE の対象版と修正状況。