目次（5）
CVE-2026-107656
CVE-2026-106173
Fortinet が 10 月 13 日付の勧告で、認証なしで攻撃できる Critical の脆弱性を 2 件公表しています。FortiSandbox の認証バイパス（CVE-2026-107656、FG-IR-26-185）と、FortiSIEM のパストラバーサル（CVE-2026-106173、FG-IR-26-180）です。どちらも修正版が出ています。CISA の KEV には載っていません。EPSS は公開直後の 10 月 30 日時点で、それぞれ 0.85%、1.00% です。
2 件の概要
| 項目 | FortiSandbox（CVE-2026-107656） | FortiSIEM（CVE-2026-106173） |
|---|---|---|
| 勧告 | FG-IR-26-185 | FG-IR-26-180 |
| 内容 | GUI への細工した HTTP リクエストで認証を回避（CWE-288） | 細工したパケットで任意のファイルを書き込める（CWE-22）。phQueryMaster デーモンが対象 |
| 前提 | 認証不要（リモートから） | 認証不要（リモートから） |
| 影響（勧告の記載） | 不正なコードやコマンドの実行 | 不正なコードやコマンドの実行 |
| Fortinet の CVSS v3.1 | 9.6 Critical | 9.4 Critical |
| NVD に載る評価 | 9.8（Fortinet が付与。NVD 自身の解析は待ち） | 9.8（同左） |
| KEV | 掲載なし | 掲載なし |
| EPSS（10/30） | 0.85% | 1.00% |
FortiSandbox（CVE-2026-107656）
FortiSandbox の GUI に、細工した HTTP リクエストで認証を回避できる欠陥があります。勧告は「リモートの認証なしの攻撃者が、アプライアンスへ不正にアクセスできる可能性がある」としています。
| 製品 | 影響を受ける版 | 対処 |
|---|---|---|
| FortiSandbox 5.2 | 対象外 | 不要 |
| FortiSandbox 5.0 | 5.0.0〜5.0.6 | 5.0.7 以降へ |
| FortiSandbox 4.4 | 4.4.0〜4.4.9 | 4.4.10 以降へ |
| FortiSandbox PaaS 5.0 | 5.0.0〜5.0.6 | 5.0.7 以降へ |
| FortiSandbox PaaS 4.4 | 全バージョン | 修正バージョンのリリースへ移行 |
NVD の記載では、FortiSandbox 4.2 の全バージョンと FortiSandbox PaaS 4.2 の全バージョンも影響を受けるバージョンに入っています。Fortinet の勧告（CSAF）の一覧には 4.2 の記載がありません。4.2 を使っている場合は、Fortinet の勧告ページで直接確認してください。
FortiSIEM（CVE-2026-106173）
FortiSIEM の phQueryMaster デーモンに、細工したパケットで任意のファイルを書き込める欠陥があります。勧告の回避策は、TCP ポート 27918 へのアクセスを制限することです。勧告によると、FortiSIEM Cloud は影響を受けません。
| 製品 | 影響を受ける版 | 対処 |
|---|---|---|
| FortiSIEM 7.6 | 対象外 | 不要 |
| FortiSIEM 7.5 | 7.5.0 | 7.5.1 以降へ |
CISA の分類（NVD に付いている SSVC）では、FortiSIEM の件は「悪用の概念実証あり（PoC）・自動化できる・技術的影響は全面的」、FortiSandbox の件は「悪用なし・自動化できる・技術的影響は全面的」です。FortiSIEM 側の Fortinet の CVSS ベクターには、攻撃コードの成熟度が高い（E:H）との指標も付いています。ただし、実際に悪用された報告は KEV・勧告のどちらにも見当たりません。
対応の考え方
- FortiSandbox は 5.0.7 または 4.4.10 以降へ、FortiSIEM は 7.5.1 以降へ更新してください。FortiSandbox PaaS 4.4 は、修正版への移行が勧告の対処です。
- 更新できない FortiSIEM は、TCP 27918 番ポートへ到達できる範囲を絞ってください。
- 管理 GUI や監視基盤が、信頼できないネットワークから見えていないかを確認してください。この 2 製品は、攻撃を受けるとセキュリティ運用の情報が集まる場所に影響が及ぶため、優先度は高めです。
- 勧告の公開（10 月 13 日）以降のログに、見覚えのない管理 GUI へのアクセスや、不審なファイルの作成がないかを確かめてください。
確認できていない点
- 勧告には、攻撃が実際に確認された記載はありません。KEV にも載っていません。
- FortiSandbox の影響版（4.2 の扱い）は、NVD と勧告の一覧で食い違っています。
- 両 CVE の NVD 評価は 10 月 31 日時点で解析待ちです。
- Fortinet の同日付の勧告には、FortiAnalyzer・FortiManager の SQL インジェクション（FG-IR-26-178）や FortiMail webmail の SQL インジェクション（FG-IR-26-184）など、別の件もあります。この記事では扱いません。
この記事について
- 執筆・編集
- World Security 編集部
出典
- Fortinet PSIRT FG-IR-26-185（CSAF）（Fortinet PSIRT）
- Fortinet PSIRT FG-IR-26-180（CSAF）（Fortinet PSIRT）
- FortiGuard IR Advisories（RSS）（Fortinet）
- NVD CVE-2026-107656（NIST NVD）
- NVD CVE-2026-106173（NIST NVD）
- FIRST EPSS API（FIRST）
- CISA Known Exploited Vulnerabilities Catalog（JSON）（CISA）
