TechTarget発　世界のITニュース

FBIが警鐘を鳴らす「FortiOS」の脆弱性　“パッチ未適用”の製品が標的に

FBIとCISAによると、Fortinet製品が搭載する「FortiOS」の脆弱性を悪用したAPT攻撃が発生している。アップデートしていない製品が狙われているとみられる。

公開 2021年05月18日 05時02分

更新 2026年08月25日 16時12分

著者

Alexander Culafi

[TechTarget]

印刷する連載新着通知を受け取る

　米連邦捜査局（FBI）と米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は2021年4月2日（現地時間）、Fortinet製品が搭載するOS「FortiOS」の脆弱（ぜいじゃく）性を悪用したAPT攻撃（高度標的型攻撃）が発生していると発表した。

3つの脆弱性を悪用

併せて読みたいお薦め記事

軽視してはいけないエンドポイントセキュリティ

脆弱性の最新の動向と対策

　FBIとCISA は、FortiOSの脆弱性を狙った攻撃を確認したという。対象になった脆弱性は下記の3つだ。

CVE-2018-13379
- 任意のファイル読み取りができる脆弱性
CVE-2020-12812
- 不適切な認証の脆弱性
CVE-2019-5591
- デフォルト設定の脆弱性

　いずれの脆弱性についても、Fortinetはすでにパッチ（修正プログラム）を提供している。

情報漏えいの可能性を指摘

　FBIとCISAが共同で発表した報告書によれば、特に商業やIT関連の企業、政府機関のネットワークが標的にされる可能性が高い。攻撃者はFortiOSの脆弱性を利用し、標的の組織において重要度の高いネットワークに入り込み、情報を盗んだり暗号化したりする可能性がある。特定の標的をだまして情報を盗み出そうとする「スピアフィッシング」など、その他の手法を使って攻撃を仕掛ける可能性もあるという。

　こうした攻撃への対策として、FBIとCISAは多要素認証（MFA）の実装や定期的なバックアップの実施など、複数の保護策を提示した。

　Fortinetは公式ブログへの2021年4月3日付の投稿で、「当社はすでに脆弱性を解決し、顧客に製品をアップデートするよう推奨している」と説明した。FBIとCISAの発表内容については、「パッチを適用していない製品が悪用されている証拠が示された。顧客が製品の定期的なアップデートをしないことによるリスクが浮き彫りになった」と見解を示した。

Fortinetは「アップデートを推奨」

　米TechTargetの情報セキュリティ取材班はFortinetに対し、攻撃者が同社の脆弱性を悪用したのを確認したかどうか、脆弱な環境に置かれている顧客の数はどれくらいかを質問した。これらの質問に対する直接的な回答は得られなかったが、下記の声明が届いた。

当社は顧客のセキュリティを最優先事項にしている。CVE-2018-13379は2019年5月に解決策を講じた古い脆弱性だ。2019年8月と2020年7月の公式ブログへの投稿で製品のアップデートを推奨するとともに、解決に向けて一貫して顧客と連絡を取り合っている。CVE-2019-5591については2019年7月に、CVE-2020-12812については2020年7月にプログラムの修正を実施した。アップデートをまだ実施していない場合は、すぐに実施することを推奨する