FortiOSの修正済み 脆弱性 CVE-2025-25249がサイバー攻撃に悪用、PivotC2を展開　CISA KEVに追加

2026年9月8日、SOCRadar Threat Research Unit（STRU）は、FortinetのFortiOSおよびFortiSwitchManagerに存在する脆弱性「CVE-2025-25249」が実際の攻撃で悪用され、FortiGate向けのRAT「PivotC2」が展開されていると報告しました。米CISAも9月9日、同脆弱性をKnown Exploited Vulnerabilities（KEV）Catalogへ追加しています。

CVE-2025-25249は2026年1月13日に公開済みで、Fortinetは修正版を提供しています。新たに発見されたゼロデイではありません。未認証のリモート攻撃者によるコードまたはコマンド実行につながるため、対象バージョンを運用している組織は、バージョンだけでなく外部からの到達性と侵害痕跡を確認する必要があります。

CVE-2025-25249悪用のサマリー

確認できている内容：

• CVE-2025-25249は、FortiOSおよびFortiSwitchManagerのcw_acdデーモンに存在するヒープベースのバッファオーバーフローです。
• FortinetがCNAとして登録したCVEレコードでは、認証されていないリモートの攻撃者が、細工したリクエストによって不正なコードまたはコマンドを実行できる可能性があるとされています。
• Fortinetは2026年1月13日の公開時点で修正版を案内しており、FortiOS 7.6系では7.6.4、7.4系では7.4.9、7.2系では7.2.12、7.0系では7.0.18以降が修正版です。
• FortiSwitchManagerは7.2.7、7.0.6以降への更新が案内されています。
• SOCRadarは、少なくとも2026年7月以降、CVE-2025-25249の悪用を観測したとしています。
• SOCRadarが解析した攻撃者側データには3万件超のFortiGate IPアドレスが含まれ、そのうち178台でPivotC2の感染セッションを確認したと報告しています。
• SOCRadarは、米国の2組織でFortiGate侵害後に内部ネットワークへの展開が進み、データ流出まで確認したとしています。
• CISAは2026年9月9日、CVE-2025-25249をKEV Catalogへ追加しました。KEV上の対応期限は9月12日で、Forensic Triageは「Yes」、ランサムウェア攻撃での悪用は「Unknown」です。
• FortinetがCNAとして登録したCVSS値は7.4（High）ですが、NVDは9.8（Critical）と評価しており、評価が一致していません。

現時点で未確定・確認できない内容：

• 日本国内でCVE-2025-25249を悪用した侵害が発生しているかは、今回確認した一次情報では確認できませんでした。
• CISAはランサムウェアキャンペーンでの利用を「Unknown」としており、ランサムウェアでの悪用を断定できません。
• SOCRadarはロシア語圏の金銭目的サイバー犯罪者による活動と高い確度で評価していますが、攻撃主体の身元が公的機関やFortinetによって確認されたわけではありません。
• SOCRadarはPivotC2の開発にAIが利用された可能性を高く評価していますが、これも同社の分析です。
• 一般公開された再現可能なPoCについては、今回確認した一次資料からは確認できませんでした。

項目	内容
CVE	CVE-2025-25249
Fortinet Advisory	FG-IR-25-084
脆弱性	cw_acdデーモンのヒープベースのバッファオーバーフロー
CWE	CWE-122。CISAのVulnrichmentではCWE-787も付与
攻撃条件	リモート、認証不要
影響	不正なコードまたはコマンドの実行
Fortinet CNAのCVSS	7.4 / High
NVDのCVSS	9.8 / Critical
実悪用	確認あり。SOCRadarが観測し、CISA KEVにも掲載
CISA KEV追加日	2026年9月9日
KEV上の期限	2026年9月12日
ランサムウェア利用	Unknown
PivotC2感染	SOCRadarが178台の感染セッションを確認
日本国内の被害	確認できず

CVE-2025-25249は未認証でコード実行につながる脆弱性

CVE-2025-25249は、FortiOSとFortiSwitchManagerのcw_acdデーモンに存在するヒープベースのバッファオーバーフローです。FortinetがCNAとして登録したCVEレコードでは、ネットワーク経由で到達でき、攻撃に事前認証や利用者操作は不要とされています。

脆弱性は2026年1月13日に公開されました。今回の報告は新たなゼロデイの発見ではなく、修正版が提供済みの既知脆弱性が、その後の攻撃で実際に利用されていることが確認されたものです。

企業側で優先して確認したいのは、「CVE番号を認識しているか」ではなく、現在または過去に対象バージョンが稼働していた機器が存在するか、その機器が攻撃経路から到達可能だったかです。

影響するFortiOS・FortiSwitchManagerと修正版

FortinetがCNAとして公開しているCVEレコードの説明と修正策は、以下のバージョンを示しています。

製品	影響するバージョン	修正版・対応
FortiOS 7.6	7.6.0～7.6.3	7.6.4以降
FortiOS 7.4	7.4.0～7.4.8	7.4.9以降
FortiOS 7.2	7.2.0～7.2.11	7.2.12以降
FortiOS 7.0	7.0.0～7.0.17	7.0.18以降
FortiOS 6.4	全バージョンと記載	現行CNAレコードの修正策欄には6.4系の修正版記載なし。Fortinetの現行アップグレードパスを確認
FortiSwitchManager 7.2	7.2.0～7.2.6	7.2.7以降
FortiSwitchManager 7.0	7.0.0～7.0.5	7.0.6以降

FortinetのCVEレコードでは、FortiSASEについて「25.2.c」「25.1.b」で修正したとの記載もあります。CISAのKEVエントリーも影響製品としてFortiSASEを挙げています。一方、同CVEレコードの構造化されたaffected欄にはFortiSASEが含まれていません。

FortiSASE利用組織は、公開レコードだけで自環境の影響有無を判断せず、契約環境のバージョンやFortinet側での対応状況を確認してください。

PivotC2でFortiGateを侵害後の中継点として利用

SOCRadarは、CVE-2025-25249の悪用後に「PivotC2」と呼ぶNode.jsベースのRATが展開されていると報告しています。

同社の解析では、PivotC2には対話型シェル、ファイル転送、トラフィックのトンネリング、ポートフォワーディング、内部ネットワークのスキャン、FortiGate設定情報の収集などの機能があります。侵害したFortiGateを単体で操作するだけでなく、内部ネットワークへ移動するための中継点として利用できる構成です。

SOCRadarが解析した攻撃者側のファイルには3万件を超えるFortiGateのIPアドレスが含まれていました。同社は、そのうち178台についてPivotC2の感染セッションを確認したとしています。3万件すべてが侵害されたという意味ではありません。

感染は米国で最も多く、次いでチリ、コロンビア、英国で確認されたとされています。米国の2組織では、FortiGate侵害後に内部ネットワークへのトンネリング、ホスト探索、ブラウザ認証情報の窃取、横展開が行われ、外部ストレージへのデータ流出まで確認したとSOCRadarは報告しています。

CISAがKEVへ追加、ランサムウェア利用は「Unknown」

CISAは2026年9月9日、CVE-2025-25249をKEV Catalogへ追加しました。KEVへの掲載は、CISAが実際の悪用を示す証拠があると判断したことを意味します。

CISAのエントリーでは、対応期限を2026年9月12日、Forensic Triageを「Yes」としています。また、Known Ransomware Campaign Useは「Unknown」です。このため、「PivotC2攻撃がランサムウェア攻撃である」「ランサムウェアグループによる攻撃が確認された」とは現時点では断定できません。

BOD 26-04は米国のFederal Civilian Executive Branch（FCEB）機関を対象とする指令で、日本企業に同じ法的期限が課されるものではありません。また、BOD 26-04では資産がインターネットへ公開されているかなどによって対応期限が変わるため、KEVの期日だけをすべての資産へ一律に適用する仕組みではありません。

一方、CISAが実悪用を認定したことで、脆弱性管理上の優先度は公開当初より変化しています。未更新機器が残っている場合は、通常のCVSS順だけで処理せず、外部露出と過去の稼働期間を含めて確認する必要があります。

CVSSはFortinet 7.4、NVD 9.8で評価が分かれる

CVE-2025-25249は、参照する情報源によってCVSS評価が異なります。

FortinetがCNAとして登録したCVEレコードでは7.4（High）で、Attack ComplexityはHighです。これに対しNVDは9.8（Critical）とし、Attack ComplexityをLowとして評価しています。

社内の脆弱性台帳や対応チケットへCVSSを転記する場合は、数値だけを記録せず「Fortinet CNA: 7.4」「NVD: 9.8」のように評価元も残しておくと、後から優先度判断の根拠を追跡できます。

今回については、CISA KEVへの掲載と実攻撃の観測が確認されているため、CVSSの差だけを理由に対応を後回しにする状況ではありません。

SOCRadarが公開したPivotC2のIoC

SOCRadarは調査レポートで、PivotC2に関連するC2通信先やファイル痕跡を公開しています。以下は同社が示した代表的な確認対象です。

種別	IoC
C2 IP	46.151.29[.]58
C2 IP	146.103.99[.]177
ファイル痕跡	/tmp/.i.js

IoCとの一致だけで侵害の有無を判断するのではなく、対象機器の外部接続履歴、異常なプロセス、設定ファイルへのアクセス、管理者操作履歴、内部ネットワークへの不審な通信と組み合わせて確認します。

情報システム部門が確認したいポイント

まず、FortiGate／FortiOSとFortiSwitchManagerの資産台帳から現在のバージョンを抽出し、影響バージョンが残っていないか確認します。過去に対象バージョンを利用していた機器も、更新日と外部公開期間を確認対象に含めます。

次に、FortinetのPSIRT Advisory FG-IR-25-084に沿って修正版へ更新します。FortiOS 6.4系は、現行CVEレコードの修正策欄に6.4向けの修正版が明記されていないため、Fortinetが案内するサポート対象のアップグレードパスを確認してください。

更新前後には、機器が外部からCAPWAP関連サービスへ到達可能な状態だったかを確認します。すぐに更新できない場合の露出低減策についても、FortinetのPSIRTに記載された現行の回避策を基準にしてください。

過去に脆弱な状態で外部から到達可能だった機器は、「パッチを適用したため侵害されていない」とは扱えません。SOCRadarが公開したIoC、外向き通信、ファイル痕跡、プロセス、設定取得の痕跡を確認し、疑わしい挙動があればインシデント対応へ切り替えます。

PivotC2の痕跡が確認された場合、SOCRadarはFortiGate設定内の認証情報が取得された前提で、管理者パスワード、SSL-VPN認証情報、LDAP bind用シークレット、無線LANのPSK、IPsecの事前共有鍵などを変更するよう推奨しています。認証情報の変更だけでなく、FortiGateを経由した内部ネットワークへの横展開も調査対象です。

なお、SOCRadarは今回のPivotC2キャンペーンについて、FortiBleedとはC2インフラ、ツール、被害対象の重複を確認しておらず、別の活動としています。FortiBleedについては「Fortinet、FortiBleedに公式見解　過去の認証バイパス脆弱性からの漏洩」で整理しています。

出典

• Heap-based buffer overflow in cw_acd daemon – Fortinet PSIRT
• CVE-2025-25249 CVE Record – CVEProject / Fortinet CNA
• Known Exploited Vulnerabilities Catalog（CVE-2025-25249） – CISA
• BOD 26-04: Prioritizing Security Updates Based on Risk – CISA
• CVE-2025-25249 Exploitation Delivers PivotC2, a FortiGate Post-Exploitation RAT – SOCRadar Threat Research Unit
• CVE-2025-25249 – NVD