FortiSandboxに認証バイパスCVE-2026-107656——修正版への更新を

CVE-2026-107656 が示す認証バイパスの深刻度

2026年10月26日、Fortinet は FortiSandbox に認証バイパスの脆弱性 CVE-2026-107656 を公開した（最終更新：2026年10月27日）。CVSSスコアは9.6（CRITICAL）であり、ネットワーク越しに認証なしで任意のコードまたはコマンドを実行される可能性がある。採番元CNAおよびCVSS評価はいずれもFortinetが実施している（CVE公式記録、NVD）。

脆弱性の種類はCWE-288「代替パスまたはチャネルを用いた認証バイパス」に分類される。攻撃者は巧妙に細工したHTTPリクエストを送信するだけで正規の認証プロセスを迂回し、不正なコードまたはコマンドを実行できる可能性がある。

CVSS 3.1ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C と記録されており、機密性・完全性・可用性のすべてへの影響が「High」と評価されている。

関連記事Fortinet製品のCVE-2025-61624は？ ／ Cisco ASA・FTDのSSL VPN脆弱性は？

CVE-2026-107656 の影響を受けるFortiSandboxバージョン一覧

CVE公式記録に基づき、影響を受けるバージョンは以下のとおりである。FortiSandbox本体とクラウド型のFortiSandbox PaaSの双方が対象に含まれる点に注意が必要だ。

表1：CVE-2026-107656 影響バージョン（CVE公式記録より）

製品	影響を受けるバージョン範囲	形態
FortiSandbox	5.0.0 〜 5.0.6 以下	オンプレミス / アプライアンス
FortiSandbox	4.4.0 〜 4.4.9 以下	オンプレミス / アプライアンス
FortiSandbox	4.2.1 〜 4.2.8 以下	オンプレミス / アプライアンス
FortiSandbox PaaS	5.0.0 〜 5.0.6 以下	クラウド型
FortiSandbox PaaS	4.4.0 〜 4.4.9 以下	クラウド型
FortiSandbox PaaS	4.2.1 〜 4.2.8 以下	クラウド型

クラウド型PaaS版も同様に影響を受けるバージョン範囲に含まれる点に注意が必要である。

CVE-2026-107656 が日本の運用現場に示す意味

CVSSベクタの AV:N（攻撃経路：ネットワーク）・PR:N（特権不要）・UI:N（利用者操作不要）は、管理インタフェースがインターネットに露出している機器においてはリモートから無条件に攻撃が成立する可能性があることを示している。

一方で留意すべき点もある。FIRST EPSSによる悪用確率の統計的推定値は2026年11月1日時点で0.00851（パーセンタイル0.582）であり、これは悪用される確率の統計的推定であり、確定ではない。またCISA KEV（既知の悪用された脆弱性カタログ）への掲載も現時点では確認されていない。

なお、本CVEの公式記録には修正版のバージョン番号・公式回避策の記載は確認されていない。具体的な修正バージョンと回避策の有無については、Fortinet PSIRT の告知を直接参照する必要がある。報道や二次情報に記載された版番号は一次情報であるベンダー告知と乖離する場合があるため、必ずFortinetの公式告知を正とすること。

今やること――修正対応の優先事項と限界

CVE-2026-107656 への対応として、現時点で確認できる実務上の優先事項は以下の2点に絞られる。手順の詳細はベンダーの公式告知で確認すること。

1. 影響バージョンの使用有無を確認する。上表に示したFortiSandbox / FortiSandbox PaaSの各バージョン範囲に該当する機器を運用している場合は、ベンダー告知の修正版へのアップデートを計画する。
2. ベンダー告知で修正版を確認する。本CVEの公式記録には修正版のバージョン番号が明示されていない。修正版の有無・バージョン・適用条件は、Fortinet PSIRT の告知を直接確認すること。現時点でCVEから確認できる公式回避策は記載なしである。修正版が確認できない場合もベンダー告知に従い対応する。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE Program: CVE-2026-107656 — https://www.cve.org/CVERecord?id=CVE-2026-107656（2026年10月27日最終更新）
• NIST National Vulnerability Database: CVE-2026-107656 — https://nvd.nist.gov/vuln/detail/CVE-2026-107656