メディア

Fortinet、管理サーバ製品の重大欠陥を公表　直ちにアップデートを：セキュリティニュースアラート

FortinetはFortiClientEMSにSQLインジェクションの脆弱性が存在すると発表した。CVSSスコアは9.8と高く、未認証でリモートコード実行の恐れがある。影響を受けるユーザーは速やかな更新が求められる。

» 2026年02月11日 07時30分公開

[ITmedia エンタープライズ編集部]

この記事は会員限定です。会員登録すると全てご覧いただけます。

　Fortinetは2026年2月6日（現地時間）、「FortiClient」向け専用サーバ「FortiClientEMS」に深刻な脆弱（ぜいじゃく）性が存在することを発表した。悪用された場合、任意のコードやコマンドが実行される可能性がある。

FortiClientEMSに深刻度9.8の脆弱性　SQLインジェクション攻撃の恐れ

　報告された脆弱性は次の通りだ。

CVE-2026-21643：　SQLインジェクションの脆弱性。SQLコマンドで使用される特殊要素の不適切な無害化に起因する脆弱性とされ、認証を必要としない第三者が細工したHTTPリクエストを送信することで、リモートコード実行（RCE）やコマンドを実行できる可能性がある。Fortinetは共通脆弱性評価システム（CVSS）v3.1のスコアを9.8としている

　この脆弱性はGUIコンポーネントに存在し、入力値の検証が不十分な点を突く攻撃が成立する。攻撃者は認証情報を持たない状態でも、特定の形式で作成したHTTPリクエストを使うことで、データベースクエリを操作できる恐れがある。影響としてシステムの機密性、完全性、可用性に深刻な影響を与える可能性が示唆されている。

　影響を受けるFortiClientEMSのバージョンは次の通りだ。

FortiClientEMS 7.4.4

　修正後のバージョンは次の通りだ。

FortiClientEMS 7.4.5およびこれ以降のバージョン

　FortiClientEMS 8.0系または7.2系については影響を受けないとされ、対応は不要とされている。本件は同社の製品セキュリティチームによる内部調査で発見したとしており、公開時点で本脆弱性の悪用を示唆する報告については言及されていない。

　FortiClientEMSはエンドポイント保護の集中管理を担う製品であり、管理サーバが侵害された場合、組織内の端末管理やセキュリティ運用に広範な影響が及ぶ可能性がある。Fortinetのアドバイザリーには追加の緩和策や暫定回避策の記載はなく、修正済みバージョンへのアップグレードが唯一の対処方法とみられる。対象バージョンを利用しているユーザーには、提示された修正バージョンへの更新が求められる。

Fortinet製品にCVSS 9.8の脆弱性　約328万件のインターネット上の資産に影響
Fortinet製品のFortiCloud SSOに認証回避の重大な脆弱性が見つかった。CVSSの評価は9.8、深刻度「緊急」（Critical）であり、攻撃者による悪用も確認されている。インターネットに公開されている約328万件の資産が影響を受けるという。
IPAが10大脅威2026年版を発表　行間から見えた“日本企業の弱点”
IPAが2026版「情報セキュリティ10大脅威」を公開しました。皆さんが気になる新しい脅威もランクインしています。ただ本当に注目してほしいのは脅威そのものではなく、これにどう対抗するかです。筆者流の10大脅威の読み方をお伝えします。
メールもURLも踏まない攻撃が始まった　Geminiを乗っ取る恐怖のシナリオ
Gmailに届いた何気ないカレンダー招待を承諾しただけで、AIが“別人の指示”に従い始める──。LLMが業務に深く組み込まれた今、従来のサイバー攻撃とは異なる新たな侵入口が拡大している。その正体と実証された攻撃シナリオを追った。
なぜアスクルのランサム被害は長期化した？　報告書から見えたレジリエンスの穴
ランサムウェア被害からの復旧が長期化する裏には、セキュリティ対策を講じるに当たってありがちな“ある勘違い”が関係していました。アスクルの被害事例をベースに認知バイアスの観点から問題を掘り下げます。