Fortinetに「認証回避」の致命的な欠陥 IPAも警告する侵入ルートの塞ぎ方：社内配布用「緊急セキュリティ通知」

Fortinet製品に、認証をバイパスされる深刻な脆弱性が発覚した。情シスが今すぐ組織内に発信すべき、実践的な注意喚起の文面とともに、具体的な対策を公開する。

[TechTargetジャパン]

　VPN（仮想プライベートネットワーク）やファイアウォール、IPS／IDS（不正侵入検知／防止）などを提供するセキュリティベンダーFortinetの製品に脆弱（ぜいじゃく）性「CVE-2025-59718」「CVE-2025-59719」が見つかり、2025年12月17日、情報処理推進機構（IPA）は注意喚起を公開した。

　これらの脆弱性は、Fortinet製品用OS「FortiOS」やセキュアWebゲートウェイ「FortiProxy」などで、管理機能へのログインにシングルサインオン機能「FortiCloud SSO」を有効にしている場合に影響を与える。悪用されたら、攻撃者が認証を回避し、Fortinet製品に入り込む恐れがある。すぐに対策が必要なので、これらの脆弱性について社内で通知し、注意を呼び掛けることが重要だ。本稿は、そのための具体的な文面をお届けする。

「そのまま使える」Fortinet脆弱性の注意喚起の文面

併せて読みたいお薦め記事

最近の脆弱性情報

• 【メール文面お届け】Adobeの欠陥「CVE-2025-61809」　これで対策依頼
• 【メール文面お届け】Microsoftの欠陥「CVE-2025-62215」　これで対策依頼

件名

【重要】Fortinet製品の認証回避脆弱性（CVE-2025-59718など）に関する注意喚起

本文

関係者各位

情報システム部セキュリティ担当です。

IPA（独立行政法人情報処理推進機構）より、以下のFortinet製品において重大なセキュリティ脆弱性に関する注意喚起が公表されましたので、情報共有と対応のお願いをいたします。

• 脆弱性の概要

Fortinet社製の下記製品において、デジタル署名検証の不適切な実装によって、認証を回避される脆弱性（CVE-2025-59718、CVE-2025-59719） が確認されています。攻撃者により認証が回避されると、本来管理者権限が必要な操作が可能となる恐れがあります。

• 影響を受ける製品

Fortinet製品用OS「FortiOS」

セキュアWebゲートウェイ「FortiProxy」

WAF（Webアプリケーションファイアウォール）「FortiWeb」

仮想アプライアンス「FortiSwitch Manager」

各製品の該当バージョンはIPAのアラートページをご確認ください。

• 推奨される対策

1. 最新版へのアップデートの実施

Fortinetが修正版をリリースしていますので、該当製品は速やかにアップデートをお願いします。

2. 回避策の適用

これらの脆弱性は、FortiCloud SSOが有効な場合に悪用される恐れがあります。意図せず有効になっている可能性があるため、関連設定の見直しや確認を実施してください。

• 実施期限（推奨）

本通知を受領次第、速やかに対応をお願いいたします。

優先度は「高」とします。

ご不明点や対応状況の報告は、セキュリティ担当までご連絡ください。

よろしくお願いいたします。

情報システム部

（担当：セキュリティチーム）

社内通知のポイント

• メールの冒頭では、IPAやJPCERT/CCが出している具体的な脆弱性の説明や、（あれば）攻撃事例を簡潔に記載する
• URLは必ず、IPAやJPCERT/CC、ITベンダーの公式ページをリンクする
• 件名に「重要」や「注意喚起」と入れると、開封率が上がる可能性がある