Fortinet、FortiWebとFortiManagerの認証関連 脆弱性を修正-未認証ログイン・FortiGateなりすましの恐れ（CVE-2026-26035／CVE-2026-70468）

Fortinetは2026年8月、FortiWebとFortiManagerに影響する2件の認証関連の脆弱性を修正しました。

FortiWebのCVE-2026-26035は、特定のRemote RADIUS管理者設定を使用している場合に認証が適切に行われず、リモートの未認証攻撃者がGUIやCLIへログインできる可能性がある脆弱性です。深刻度はHigh、CVSS v3スコアは8.8です。

FortiManagerのCVE-2026-70468は、FortiGateとFortiManager間のFGFM通信における証明書検証に関係する脆弱性です。特定の設定が有効で、攻撃者が有効な証明書を保持している場合、細工したFGFMリクエストによって管理対象FortiGateになりすます可能性があります。深刻度はHigh、CVSS v3スコアは7.3です。

Fortinetはいずれの脆弱性についても、現時点で実際の攻撃への悪用を確認していません。ただしFortiWebやFortiManagerはネットワーク境界やセキュリティ機器の管理に利用されるため、対象バージョンと設定を確認し、修正版への更新を進める必要があります。

FortiWeb・FortiManager認証脆弱性のサマリー

• FortinetはFortiWebのCVE-2026-26035とFortiManagerのCVE-2026-70468を修正しました。
• CVE-2026-26035はFortiWebの認証不備で、CVSS v3は8.8、深刻度はHighです。
• FortiWebでRemote RADIUS管理者を使用し、Wildcardを有効にしている特定の構成が主な影響対象です。
• 条件を満たす場合、リモートの未認証攻撃者がGUIやCLIへログインできる可能性があります。
• FortiWebのWildcard設定はデフォルトでは無効です。
• CVE-2026-70468はFortiManagerの認証バイパスで、CVSS v3は7.3、深刻度はHighです。
• FortiManagerでfgfm-peercert-withoutsnが有効になっており、攻撃者が有効な証明書を持つ場合、FortiGateになりすましてFGFM通信を行える可能性があります。
• fgfm-peercert-withoutsnはデフォルトでは無効で、Fortinetは証明書のシリアル番号検証を有効な状態に保つことを推奨しています。
• FortiManager 7.6.2ではfgfm-peercert-withoutsn設定自体が削除され、FortiGate証明書のCNまたはSANにFortiGateのシリアル番号を含める必要があります。
• Fortinetは両脆弱性について、実際の攻撃への悪用を確認していません。
• 該当する設定を使用している場合は、ワークアラウンドだけでなく修正版への更新が推奨されます。

CVE番号	対象製品	CVSS	種別	主な悪用条件	影響	実際の悪用状況
CVE-2026-26035	FortiWeb	8.8 High	CWE-287 Improper Authentication	Remote RADIUS管理者＋Wildcard有効	未認証の攻撃者がGUI／CLIへログインできる可能性	Fortinetは確認していない
CVE-2026-70468	FortiManager	7.3 High	CWE-288 Authentication Bypass Using an Alternate Path or Channel	fgfm-peercert-withoutsn有効＋有効な証明書を保持	管理対象FortiGateへのなりすまし	Fortinetは確認していない

FortiWebのCVE-2026-26035とは

CVE-2026-26035は、FortiWebの管理者認証における不適切な認証処理に関する脆弱性です。

FortinetのPSIRTによると、Remote RADIUSを利用する管理者アカウントでWildcard機能を有効にしている特定の構成において、リモートの未認証攻撃者がランダムなユーザー名とパスワードを使用してGUIまたはCLIへログインできる可能性があります。

FortiWebのWildcardは、RADIUS側で管理されている複数のユーザーを、FortiWeb上で個別に管理者登録せずに認証できるようにする機能です。

通常は管理負荷を減らせる一方、今回の脆弱性では、この認証処理の不備によって本来拒否されるべきログインが許可される可能性があります。

ただし、Wildcard機能はデフォルトでは無効です。

そのためFortiWebを利用しているすべての環境が直ちに同じ条件で攻撃可能になるわけではありません。まずRemote RADIUS管理者を使用しているか、その管理者でWildcardが有効になっているかを確認する必要があります。

FortiWebの影響バージョンと修正版

Fortinetが示している主な影響バージョンと修正版は以下の通りです。

FortiWeb	影響バージョン	修正版
8.0	8.0.0～8.0.2	8.0.3以降
7.6	7.6.0～7.6.6	7.6.7以降
7.4	7.4.0～7.4.11	7.4.12以降
7.2	7.2.0～7.2.12	7.2.13以降
7.0	7.0.0～7.0.12	7.0.13以降

FortiWeb 7.0系については、FortinetのCVE情報で影響範囲と修正版が示されています。利用しているブランチがPSIRTの表示上で確認しにくい場合でも、7.0系を使用している組織は非影響と判断せず、Fortinetの最新情報とアップグレードパスを確認してください。

FortiWebではWildcardの無効化が回避策

FortinetはCVE-2026-26035の回避策として、影響を受けるRemote RADIUS管理者でWildcardを無効化することを案内しています。

Wildcardを使用していない環境は、今回の脆弱性で示されている主な悪用条件には該当しません。

ただし、設定変更だけで対応を終えるのではなく、FortiWeb本体を修正版へ更新することが基本となります。

また、管理GUIやCLIをインターネットへ広く公開している場合は、今回の脆弱性とは別に、管理アクセス元を許可されたネットワークや管理端末へ限定することも確認してください。

FortiWebでは過去にも認証バイパス脆弱性が報告されています。

2025年には、FortiWebの認証バイパス脆弱性CVE-2025-52970が公表され、管理者を含むユーザーへのなりすましにつながる可能性が指摘されました。

今回のCVE-2026-26035とは原因や悪用条件が異なりますが、FortiWebの管理インターフェースを外部から到達可能な状態にしている場合、パッチ適用だけでなくアクセス制御も継続して見直す必要があります。

FortiManagerのCVE-2026-70468とは

CVE-2026-70468は、FortiManagerが管理対象のFortiGateを認証する際の処理に関係する脆弱性です。

Fortinetは、Authentication Bypass Using an Alternate Path or Channel（CWE-288）に分類しています。

特定のCLI設定が有効なFortiManagerに対して、攻撃者が有効な証明書を使用して細工したFGFMリクエストを送ることで、管理対象FortiGateになりすませる可能性があります。

FGFMはFortiGateとFortiManagerの間で管理通信を行うためのプロトコルです。

FortiManagerではFortiGateから提示された証明書について、証明書のCN（Common Name）またはSAN（Subject Alternative Name）に接続元FortiGateのシリアル番号が含まれているかを確認する仕組みがあります。

この確認を緩和するための設定が、

fgfm-peercert-withoutsn

です。

Fortinetのドキュメントでは、この設定を有効にするとFortiManagerが証明書のCNまたはSANにFortiGateのシリアル番号が含まれているかを検証しなくなると説明されています。

デフォルトは無効であり、Fortinetもシリアル番号の検証を有効な状態に保つことを推奨しています。

FortiManagerの影響バージョンと修正版

Fortinetが示している影響バージョンは以下の通りです。

FortiManager	影響バージョン	修正版
8.0	影響なし	対応不要
7.6	7.6.1	7.6.2以降
7.4	7.4.3～7.4.5	7.4.6以降
7.2	7.2.5～7.2.9	7.2.10以降

FortiManager 7.6.2では、fgfm-peercert-withoutsn設定自体が削除されています。

Fortinetのリリースノートによると、7.6.2では証明書のシリアル番号確認を無効化する方法はなく、FortiGateが使用する証明書のCNまたはSANにFortiGateのシリアル番号を含める必要があります。

fgfm-peercert-withoutsnが有効なら無効化を確認

CVE-2026-70468のワークアラウンドは、fgfm-peercert-withoutsnを無効化し、FortiGate証明書のシリアル番号検証を有効にすることです。

この設定はデフォルトでは無効ですが、過去のバージョンでは、独自証明書を利用したFGFM接続で証明書のCNやSANにシリアル番号が含まれていない場合の互換性対策として有効化できました。

そのため、FortiManagerを長期間運用している環境では「デフォルトだから無効のはず」と判断せず、実際の設定値を確認してください。

設定を無効化すると、現在使用している独自証明書にFortiGateのシリアル番号が含まれていない場合、FortiManagerとの接続が失敗する可能性があります。

Fortinetは、必要に応じてシリアル番号を含む証明書を再生成するよう案内しています。

2件とも現時点で実際の攻撃への悪用は確認されず

FortinetのPSIRTでは、CVE-2026-26035とCVE-2026-70468について「Known Exploited: No」としています。

現時点で、この2件が実際のサイバー攻撃で悪用されたことを示すFortinetの公式情報はありません。

ただし、Fortinet製品では過去に認証関連の脆弱性が公開後またはゼロデイとして悪用された事例があります。

2026年1月には、FortiCloud SSOを使った管理者ログインの認証バイパス脆弱性CVE-2026-24858が実際の攻撃で悪用されました。

Fortinet、FortiCloud SSOの管理者ログインに認証バイパス脆弱性、サイバー攻撃による実害も（CVE-2026-24858）

今回の2件について悪用が確認されたわけではありませんが、管理系インターフェースやネットワーク機器間の信頼関係に関わる脆弱性であるため、公開後の攻撃を待って対応する必要はありません。

情報システム部門への示唆

FortiWebを利用している組織は、まず対象バージョンだけでなくRemote RADIUS管理者の設定を確認してください。

CVE-2026-26035はWildcardを有効にしている特定構成が前提となるため、バージョン確認と設定確認を組み合わせることで、自社環境の優先度を判断できます。

FortiManagerではfgfm-peercert-withoutsnの設定状況と、FortiGateが使用する証明書のCN・SANに正しいシリアル番号が含まれているかを確認します。

独自証明書を使用している場合は、設定だけを無効化するとFGFM接続に影響する可能性があるため、証明書の再発行や接続確認を含めて変更計画を立てる必要があります。

また、FortiWebやFortiManagerの管理インターフェースについて、インターネットから直接アクセスできる必要があるかも見直してください。

VPNや管理ネットワーク経由に限定する、Trusted Hostsやファイアウォールで接続元を絞る、管理者権限を必要最小限にする、MFAを有効化するといった基本対策は、特定のCVEに依存しない防御になります。

Fortinet製品では認証や管理機能に関する脆弱性が継続して公開されています。パッチ情報だけを追うのではなく、PSIRTで示される「悪用に必要な設定条件」まで確認し、自社の設定情報と照合できる運用を整えておくことが重要です。

出典

• FG-IR-26-158 – Fortinet PSIRT
• FG-IR-26-160 – Fortinet PSIRT
• Custom certificate name verification for FortiGate connection – Fortinet Document Library
• Special Notices – FortiManager 7.2.6 – Fortinet Document Library
• FortiWebの認証バイパス脆弱性で部分的なPoCが公開-CVE-2025-52970 – セキュリティ対策Lab
• Fortinet、FortiCloud SSOの管理者ログインに認証バイパス脆弱性、サイバー攻撃による実害も（CVE-2026-24858） – セキュリティ対策Lab