【注意喚起】FortiGateの管理機能に認証をすり抜ける弱点、国内でも悪用を確認

01何が起きているか

米フォーティネット製のファイアウォールファイアウォール会社のネットワークの出入り口で、入ってよい通信と、だめな通信を分ける門番。用語集で語源も見る「FortiGate」などのOSOS（オーエス）パソコンやスマホを動かすいちばん土台のソフト。Windows（ウィンドウズ）、macOS、iPhone の iOS などがOSです。用語集で語源も見る「FortiOS」と「FortiProxy」で、外部から特別な通信を送るだけで最高管理者の権限を得られるおそれのある脆弱性脆弱性（ぜいじゃくせい）ソフトや機械にある「弱いところ」「穴」のこと。お城の石垣に小さなすき間があると、そこから敵が入ってきます。悪い人はこのすき間をさがして入ってきます。用語集で語源も見る（CVECVE（シーブイイー）世界で見つかったソフトの弱いところ（脆弱性）一つひとつにつける番号。「CVE-2024-12345」のように、だれが見ても同じものだと分かります。用語集で語源も見る-2024-55591）が公表されました。JPCERT/CCJPCERT/CC（ジェーピーサート・シーシー）日本のサイバー事件の連絡や調整をする組織。被害の相談を受けたり、注意をよびかけたりしています。用語集で語源も見るは2025年1月15日に注意喚起を出し、その後、2025年3月以降に国内でこの弱点が悪用された事例を確認したと追記しました。海外では、この弱点を使ったランサムウェアランサムウェアパソコンのデータにカギをかけて使えなくし、「元にもどしてほしければお金をはらえ」とおどす悪いプログラム。はらっても元にもどる保証はありません。用語集で語源も見る攻撃も報告されています。

02何が危ないのか

修正前の機器で、管理画面管理画面ホームページの持ち主だけが入れる、記事の書きかえや設定をする画面。ここに入られると、ホームページを乗っ取られます。用語集で語源も見るがインターネットインターネット世界中のコンピューターやネットワークを、つなぎ合わせた大きなネットワーク。道路が国じゅうの町をつないでいるように、世界中の会社や家をつないでいます。用語集で語源も見るから接続できる状態になっていると狙われます。対象はFortiOS 7.0.0〜7.0.16などです。

03中小企業がとるべき対処方法

1. 保守業者に、FortiOSを修正版（7.0.17以降など）に更新してもらう
2. 機器の管理画面をインターネットに公開しない、または接続元のIPアドレスIPアドレスインターネット上の「住所」。データはこの住所をたよりに届きます。用語集で語源も見るを限定する
3. 見覚えのない管理者アカウント管理者権限ソフトを入れたり、設定を変えたりできる「強い力」のこと。学校でいえば先生だけが持っているマスターキーです。悪い人に取られると何でもされてしまうので、使う人をしぼります。用語集で語源も見るが作られていないか確認する
4. 機器の更新と点検を、自社と保守業者のどちらがするのかを決めておく

04関係する診断項目

• E-01SVPN機器・ファイアウォール・ルーターのファームウェアが最新である
• E-02Sインターネットから見える不要なポート（RDP等）が開いていない
• C-07A管理者権限を必要な人だけに限定している
• E-06S保守業者のリモート接続経路を把握・管理している

93項目の診断について

05この事例に出てくることば

認証

「あなたは本当にその人ですか？」を確かめること。パスワードや指紋、スマホに届く番号などを使います。

ファイアウォール

会社のネットワークの出入り口で、入ってよい通信と、だめな通信を分ける門番。

OS（オーエス）

パソコンやスマホを動かすいちばん土台のソフト。Windows（ウィンドウズ）、macOS、iPhone の iOS などがOSです。

脆弱性（ぜいじゃくせい）

ソフトや機械にある「弱いところ」「穴」のこと。お城の石垣に小さなすき間があると、そこから敵が入ってきます。悪い人はこのすき間をさがして入ってきます。

CVE（シーブイイー）

世界で見つかったソフトの弱いところ（脆弱性）一つひとつにつける番号。「CVE-2024-12345」のように、だれが見ても同じものだと分かります。

JPCERT/CC（ジェーピーサート・シーシー）

日本のサイバー事件の連絡や調整をする組織。被害の相談を受けたり、注意をよびかけたりしています。

ランサムウェア

パソコンのデータにカギをかけて使えなくし、「元にもどしてほしければお金をはらえ」とおどす悪いプログラム。はらっても元にもどる保証はありません。

管理画面

ホームページの持ち主だけが入れる、記事の書きかえや設定をする画面。ここに入られると、ホームページを乗っ取られます。

インターネット

世界中のコンピューターやネットワークを、つなぎ合わせた大きなネットワーク。道路が国じゅうの町をつないでいるように、世界中の会社や家をつないでいます。

IPアドレス

インターネット上の「住所」。データはこの住所をたよりに届きます。

管理者権限

ソフトを入れたり、設定を変えたりできる「強い力」のこと。学校でいえば先生だけが持っているマスターキーです。悪い人に取られると何でもされてしまうので、使う人をしぼります。

06参照元

• JPCERT/CC（注意喚起）記事を読む（2025-01-15）

本ページは、参照元の報道をもとに当社が要約したものです。正確な内容は参照元と当事者の公表をご確認ください。