検索NeSC を見る
脆弱性・CVE速報深刻度: 中

FortiOS など Fortinet 製品 4 つの欠陥、管理者アカウントから任意のファイルを書き換え・削除、KEV に追加（CVE-2025-61624）

World Security 編集部
目次（6）

CVE-2025-61624

Fortinet の FortiOS・FortiPAM・FortiProxy・FortiSwitchManager に、管理者として入った攻撃者が、機器の中の好きなファイルを書き換え・削除できる欠陥が見つかり、悪用が確認されました。

KEV とは、米国の CISA が「実際に悪用された」と確認した脆弱性の一覧です。

何が問題か

CVE-2025-61624: Fortinet の 4 製品（パストラバーサル）

パストラバーサルと呼ばれる欠陥です。管理者のプロファイルで、読み書き以上の権限を持つ認証済みの攻撃者が、特定の CLI（コマンド入力）の操作で、任意のファイルを書き込み・削除できます。ログインが前提で、CVSS も 6.0（中）と、今回の記事のなかでは低い値です。CVE 番号は 2025 年ですが、KEV に載ったのは 2026-10-16 です。

分類（CWE）: CWE-22

数値で見る

CVEKEV 追加日対応期限CVSSEPSS
CVE-2025-616242026-10-162026-10-196.0（中・v3.1）1.3%（百分位 71.2）

ランサムウェア攻撃での悪用: KEV では「不明」です（「なかった」という意味ではありません）。

CVSS は深刻度を 0〜10 の点数にしたものです（NVD の掲載値）。EPSS は「今後 30 日以内に悪用が観測される確率」の推定で、2026-10-27 時点の値です（FIRST 調べ。日々変わります）。

KEV に載った脆弱性は「すでに悪用された」ものです。表の「対応期限」は米国の連邦機関に課される期限で、民間企業に義務はありませんが、優先度を決める目安になります。

誰が気をつけるか

FortiOS・FortiPAM・FortiProxy・FortiSwitchManager を使っている組織。

今やること

  1. 自社の資産一覧で、対象の製品とバージョンを使っているか確認します（委託先や別拠点の運用分も含めます）。
  2. 対象なら、出典のベンダー情報に従って、修正版への更新または緩和策を行います。KEV が示す対応は「ベンダーの手順に従った緩和策の適用」です。
  3. 管理者アカウントの共有・使い回しがないか、管理画面（HTTPS・SSH）の接続元が絞られているかを確認します。
  4. Fortinet の案内（FG-IR-26-122）に、対象バージョンと修正版が書かれています。
  5. CISA はこの欠陥について、フォレンジックトリアージ（被害の痕跡を調べる初動調査）を求めています。更新の前に、ログと設定のコピーを残し、侵入された形跡がないかを確認します。
  6. 対応期限（2026-10-19）はすでに過ぎています。未対応なら、今日のうちに着手してください。

用語メモ

  • KEV: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。
  • パストラバーサル: 「../」などを使って、本来アクセスできないフォルダのファイルを読み書きする攻撃。
  • フォレンジックトリアージ: 被害の痕跡があるかを素早く調べ、証拠を集める初動調査。

出典

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事