要点
- Fortinet が、ファイアウォールやメールの製品など多数で、約100件の欠陥を一度に修正した。
- Ivanti は、認証なしで外から操作されうる「重大」な欠陥を直した。Citrix も、乗っ取りにつながりうる「高」の欠陥を直した。
- Ivanti は悪用の証拠はないとしている。Fortinet と Citrix は、悪用の有無を述べた資料を確かめられていない。
何が起きたか
Fortinet は11月10日の月例の更新で、多数の欠陥を修正した。SecurityWeek によると、89件の advisory（公式の注意書き）で約100件にのぼる。うち約17件が「重大」、約80件が「高」と評価されている。FortiMail に重大な修正が最も多い。FortiOS、FortiManager、FortiAnalyzer、FortiAuthenticator も含まれる。
Fortinet は自社ブログで、最先端の AI モデルを製品の安全性テストに取り入れたと説明している。コードの流れや通信の扱い、設定の論理を AI に調べさせた。今回の修正は、その取り組みで見つかった欠陥を含む。Anthropic、OpenAI、Google、SpaceX の協力にも謝意を示している。どの欠陥が AI で見つかったかは、確かめられていない。
同じブログで Fortinet は、攻撃者も AI を使い、修正から欠陥を逆算して攻撃を早く作る恐れがあると警告している。修正を後回しにしにくくなる、という趣旨だ。
Ivanti は13件を修正した。SecurityWeek によると、Endpoint Manager（EPM）に、認証なしで外から任意のコードを動かせる恐れのある欠陥（深刻度 9.8、重大）がある。Cloud Services Application（CSA）にも、認証が欠けているために外から操作できる欠陥（9.4、重大）がある。SecurityWeek は、Ivanti が悪用の証拠はないとしていると伝えている。
Citrix は XenServer の6件を修正したと、SecurityWeek が報じた。うち CVE-2026-102705 は「高」と評価され、攻撃者が Pool Secret（機器の群れで共有する秘密）を推測し、本体を乗っ取れる恐れがあるという。残りの評価は確かめられていない。Citrix の advisory は今回読み込めず、悪用の有無も確かめられていない。
日本の利用者への影響
日本での利用の広さや、日本の組織への被害の報告は、確かめられていない。自社で該当の製品を使っているかは、自分で確かめる必要がある。
今すぐやること
- 自社で使っている Fortinet・Ivanti・Citrix の製品と版を洗い出す。
- Fortinet の対象製品は、下の「技術者向けの詳細」の修正版以降へ更新する。FortiMail 7.2 は、新しい系統への移行が必要だ。
- Ivanti の EPM と CSA は、更新を優先する。インターネットに公開している機器から先に直す。
- Citrix XenServer は、vendor の advisory で版を確かめて更新する。
- 機器の管理画面を、インターネットに直接出していないか確かめる。
背景
SecurityWeek は、インターネットに面した機器の更新を優先するよう伝えている。外から届く機器の欠陥は、乗っ取りに直結しやすいためだ。
今回の特徴は、AI で見つけた欠陥が増えている点だ。守る側が AI で先に欠陥を見つければ、修正は増える。一方で、公開された修正が攻撃者に使われる時間も短くなりうる。これは Fortinet の見立てであり、実際の攻撃で確かめられたわけではない。
SecurityWeek は、研究者の Kevin Joensen（Baldur Security の主任コンサルタント）が、ある欠陥に Fortinet2Shell と名付けたと伝えている。FortiPAM を有効にした環境で、悪意あるサイトを開くとコードを動かされる恐れがあるという。この内容は SecurityWeek の報道によるもので、Fortinet 側の資料では確かめられていない。
技術者向けの詳細
- Fortinet の公式ブログによる、影響を受ける版と修正版。
- FortiOS: 8.0.0–8.0.1 は 8.0.2 以降、7.6.0–7.6.7 は 7.6.8 以降、7.4.0–7.4.12 は 7.4.13 以降、7.2.0–7.2.13 は 7.2.14 以降。
- FortiManager・FortiAnalyzer: 8.0.0–8.0.1 は 8.0.2 以降、7.6.0–7.6.7 は 7.6.8 以降、7.4.0–7.4.11 は 7.4.12 以降、7.2.0–7.2.12 は 7.2.13 以降。
- FortiMail: 8.0.0–8.0.1 は 8.0.2 以降、7.6.0–7.6.6 は 7.6.7 以降、7.4.0–7.4.8 は 7.4.9 以降。7.2.0–7.2.9 は 7.4 系以降へ移行する。
- FortiAuthenticator: 8.0.0–8.0.3 は 8.0.4 以降、6.6.0–6.6.10 は 6.6.11 以降。
- ブログによると、FortiOS・FortiManager・FortiAnalyzer の修正は10月22日の予定、FortiMail と FortiAuthenticator は先に出た。
- Fortinet の個別の CVE 番号は、ブログに載っていない。PSIRT で確かめる。
- Ivanti（SecurityWeek による）: EPM は CVE-2026-121653（9.8、SQL インジェクション）、CSA は CVE-2026-121683（9.4、認証の欠如）。
- SecurityWeek によると、EPM は 2024 SU8 で修正、CSA は 5.0.8.1 で修正。いずれも各 advisory で確かめる。
- Citrix（SecurityWeek による）: CVE-2026-102705（XenServer、高）。advisory の番号は確かめられていない。
