Fortinet複数製品の脆弱性CVE-2025-61624——悪用確認、版確認を

CVE-2025-61624とは——Fortinet複数製品に共通するパストラバーサルの脆弱性

2026年4月14日に公開されたCVE-2025-61624は、Fortinetが提供するFortiOS・FortiProxy・FortiSwitchManager・FortiPAMの4製品群に共通して存在するパストラバーサル（CWE-22）の脆弱性である（出典：CVE公式記録 cve.org、2026年10月17日最終更新）。

脆弱性の本質は、制限されたディレクトリへのパス名の不適切な制限にある。管理者プロファイルを持ち少なくとも読み書き権限を持つ認証済み攻撃者が、特定のCLIコマンドを介して本来アクセスを制限されているディレクトリ外のファイルを任意に書き込み・削除できる可能性がある。攻撃にはローカルアクセスと管理者権限が前提となるため、外部ネットワークからの無差別な遠隔攻撃とは性質が異なる。

CVE公式記録のCVSS 3.1スコアは5.4（MEDIUM）で、現状評価（E:P/RL:O/RC:C）を含む値である。FortinetのPSIRTアドバイザリの基本値は6.0。ベクターはCVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H/E:P/RL:O/RC:C（評価者: Fortinet）である（出典：NIST National Vulnerability Database）。完全性と可用性への影響がHigh評価、機密性への影響はNoneである。

CVSSスコアは5.4（MEDIUM）だが、2026年10月16日にCISA KEVカタログへ追加されており、悪用が確認されている。

関連記事Connect Secureの脆弱性、今すぐ対応は？ ／ Cisco ASA・FTDのSSL VPN脆弱性は？

CVE-2025-61624の影響を受けるバージョン一覧

影響を受ける製品とバージョンの範囲は以下のとおりである（出典：CVE公式記録 cve.org、採番元CNA: Fortinet）。

表1：CVE-2025-61624の影響を受ける製品・バージョン（出典：CVE公式記録 cve.org）

製品	影響を受けるバージョン
FortiOS	7.6.0 〜 7.6.4
	7.4.0 〜 7.4.9
	7.2.0 〜 7.2.13
	7.0.0 〜 7.0.19
	6.4.0 〜 6.4.16
FortiProxy	7.6.0 〜 7.6.4
	7.4.0 〜 7.4.11
	7.2.0 〜 7.2.16
	7.0.0 〜 7.0.23
FortiSwitchManager	7.2.0 〜 7.2.7
	7.0.0 〜 7.0.6
FortiPAM	1.7.0
	1.6.0 〜 1.6.2
	1.5.0 〜 1.5.1
	1.4.0 〜 1.4.3
	1.3.0 〜 1.3.1
	1.2.0
	1.1.0 〜 1.1.2
	1.0.0 〜 1.0.3

FortiOSは5つの系列、FortiProxyは4つの系列、FortiSwitchManagerは2つの系列、FortiPAMはバージョン1.x系の広範な範囲が対象となっており、影響の裾野が広い。

修正版は、Fortinet PSIRTアドバイザリ（FG-IR-26-122）によれば、FortiOS 7.6系が7.6.5以降、7.4系が7.4.10以降である。7.2系・7.0系・6.4系はCVE公式記録で全版が影響範囲とされており、修正版を含む系列への移行が必要になる。FortiProxy・FortiSwitchManager・FortiPAMの修正版は、アドバイザリで製品ごとに確認する。

CISA KEV掲載と「悪用確認済み」の意味——CVSSスコアとの乖離に注意

CVE-2025-61624は2026年10月16日にCISAのKEVカタログに追加された（出典：CISA Known Exploited Vulnerabilities Catalog）。KEVへの掲載は、その脆弱性が単に「理論上悪用可能」なレベルにとどまらず、実際の攻撃活動の中で使用されていることをCISAが確認したことを意味する。

CVSSスコア5.4という「MEDIUM」評価と、KEV掲載の事実は別の観点である。CVSSスコアだけでなく、KEV掲載の有無も合わせて確認する必要がある。CISAが示した対処要件は「ベンダーの指示に従って対策を適用し、指令BOD 26-04に準拠すること。対策が利用できない場合は製品の使用を停止すること」という内容であった（原文より意訳）。

CISAが示した対処期限（2026年10月19日）は米連邦政府機関向けの義務であり、日本企業への法的拘束力はない。

EPSSによる悪用発生確率の統計的推定値は約1.3%、パーセンタイルは71.3%であった（2026年10月29日時点、出典：FIRST EPSS）。EPSSは将来の悪用を確定的に予測するものではなく統計的推定である。

また、ランサムウェアでの利用についてCISAは「Unknown（未確認）」としている。これは「ランサムウェアに使われていない」という確証ではなく、現時点で確認されていないという意味であることに留意すべきだ。

対処——FortiOSは7.6.5または7.4.10以降へ更新する

• FortiOSは7.6系なら7.6.5以降、7.4系なら7.4.10以降へ更新する。7.2系以前は修正版を含む系列へ移行する。FortiProxy・FortiSwitchManager・FortiPAMの修正版は、Fortinet PSIRTアドバイザリ FG-IR-26-122を参照する。
• 公式の回避策は確認できていない。
• CISAの対処期限は2026年10月19日。米連邦機関向けの期限で、日本企業への義務ではない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE-2025-61624 公式記録（cve.org）: https://www.cve.org/CVERecord?id=CVE-2025-61624
• NVD — CVE-2025-61624（NIST National Vulnerability Database）: https://nvd.nist.gov/vuln/detail/CVE-2025-61624
• CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog