Fortinet、FortiMonitor・FortiSandbox・FortiPAMの脆弱性を修正　認証回避など3件、CVSS最大9.6(FG-IR-26-170,FortiPAM FG-IR-26-168,CVE-2026-26084)

Fortinetは2026年9月8日、FortiMonitor OnSight、FortiSandbox、FortiPAM関連コンポーネントに影響する3件のセキュリティ脆弱性を公表しました。

最も深刻なのはFortiMonitor OnSightのWebポータルにある認証回避の問題で、CVSS v3スコアは9.6です。JWTの署名に使う情報が静的に扱われていたことにより、リモートの未認証攻撃者が認証を回避できる可能性があります。

FortiSandboxでは、未認証の攻撃者が細工したHTTPリクエストによって機微な情報へアクセスできるCVE-2026-26084が公表されました。FortinetがCVE CNAとして登録した評価はCVSS v3.1 8.9（High）です。

FortiPAMでは、Fortinet Privileged Access Agent Chrome拡張機能の認証不備により、利用者が悪意あるWebサイトを閲覧した場合、ブラウザ通信を攻撃者が制御するサーバー経由に変更される可能性があります。Fortinetの評価はCVSS v3 9.1です。

9月9日時点で、今回確認した一次情報・公的情報から3件の実悪用は確認できませんでした。CVE-2026-26084はCISA Known Exploited Vulnerabilities（KEV）Catalogにも掲載されていません。

Fortinetが公表した3件の脆弱性のサマリー

確認できている内容：

• Fortinetは2026年9月8日、FortiMonitor OnSight、FortiSandbox、FortiPAM関連の脆弱性を公表しました。
• FortiMonitor OnSightの問題はPSIRT Advisory FG-IR-26-170で、CVSS v3スコアは9.6です。
• FortiMonitor OnSightでは、静的な鍵で署名されたJWTに関する問題により、未認証のリモート攻撃者が認証を回避できる可能性があります。
• FortinetのFortiMonitor 7.2.8リリースノートには、生成された永続JWTトークンによってOnSight 100F Webコンソールへ完全な管理者アクセスが可能になる問題を修正した記録があります。
• FortiSandboxのCVE-2026-26084は、Web UIの不適切なアクセス制御（CWE-284）に関する脆弱性です。
• CVE-2026-26084では、未認証の攻撃者がネットワーク経由で細工したHTTPリクエストを送ることで機微な情報へアクセスできる可能性があります。
• FortinetのCVE CNAレコードではCVE-2026-26084をCVSS v3.1 8.9（High）と評価しています。
• FortiPAM関連のPSIRT Advisory FG-IR-26-168はCVSS v3 9.1で、Fortinet Privileged Access Agent Chrome拡張機能の認証不備（CWE-287）です。
• FortiPAMの問題では、利用者が悪意あるWebサイトを閲覧した場合、ブラウザ通信を攻撃者が制御するサーバー経由に変更される可能性があります。
• Chrome Web Storeで確認できるFortinet Privileged Access Agentの現行バージョンは8.0.1.123で、2026年7月31日に更新されています。
• 9月9日時点で、今回確認した一次・公的資料では3件の実悪用を確認できませんでした。
• CVE-2026-26084は9月9日時点でCISA KEVに掲載されていません。

現時点で確認できない内容：

• 3件を実際に悪用した攻撃者の存在
• 被害組織や被害件数
• CVE-2026-26084以外の2件について、公開情報から確実に確認できるCVE番号
• 実攻撃で利用可能な公開PoC
• 日本国内での被害

対象	識別子	CVSS	主な影響	認証	実悪用
FortiMonitor OnSight	FG-IR-26-170	9.6	Web GUIの認証回避	不要	確認できず
FortiSandbox / Cloud / PaaS	CVE-2026-26084 / FG-IR-26-166	8.9（Fortinet CNA）	機微情報へのアクセスなど	不要	確認できず
Fortinet Privileged Access Agent / FortiPAM	FG-IR-26-168	9.1	ブラウザ通信を攻撃者管理サーバー経由に変更される可能性	攻撃者側の認証不要、利用者のWeb閲覧が条件	確認できず

FortiMonitor OnSightは静的JWT鍵により認証回避の可能性

FortinetのPSIRT Advisory FG-IR-26-170は、「JWT used for authentication in web GUI signed with static key」と題された問題です。

Fortinetは、FortiMonitor OnSightのWebポータルに「Inclusion of Sensitive Information in Source Code」（CWE-540）が存在し、リモートの未認証攻撃者が偽造または再利用したJWTによって認証を回避できる可能性があると説明しています。

CVSS v3スコアは9.6です。

JWTはWebアプリケーションなどで認証・認可情報をやり取りするために利用されます。今回の問題では、OnSight Web GUIの認証に関わるJWTの署名情報が適切に保護されていなかったことが問題となっています。

攻撃手順やトークン生成方法はFortinetの公開情報から記事化する必要がないため、本記事では扱いません。

FortiMonitor 7.2.8のリリースノートにも修正記録

FortinetのFortiMonitor OnSight 100Fリリースノートでは、2025年7月31日に公開された7.2.8で、次の趣旨の問題が修正済みとして記録されています。

「生成された永続JWTトークンにより、OnSight 100F WebコンソールUIへの完全な管理者アクセスが可能になる問題」

Fortinetのリリース履歴では、

• 7.2.7：2025年5月29日
• 7.2.8：2025年7月31日
• 7.2.9：2025年11月20日
• 7.2.11：2026年3月11日

が確認できます。

今回のPSIRT公表は2026年9月ですが、修正版自体はそれ以前から提供されていました。

FortiMonitor OnSightを利用している企業では、「最新の脆弱性情報を見てから更新する」のではなく、稼働中のバージョンが7.2.8以降かを資産情報と照合します。

Fortinetの製品ドキュメントでは、OnSightは通常、プライベートなクラウドネットワーク側へ配置し、FortiMonitorクラウドへのアウトバウンドTLS通信を利用する設計とされています。

そのため、すべてのOnSightがインターネットから直接到達可能とは限りません。一方、Web管理画面へ社内ネットワークや管理ネットワークから到達できる環境では、アクセス可能範囲とバージョンを確認する必要があります。

CVE-2026-26084はFortiSandboxのアクセス制御不備

CVE-2026-26084は、FortiSandbox、FortiSandbox Cloud、FortiSandbox PaaSのWeb UIに存在する不適切なアクセス制御の脆弱性です。

CWEはCWE-284（Improper Access Control）です。

FortinetがCVE CNAとして登録した説明では、未認証の攻撃者が細工したHTTPリクエストを送信することで、機微な情報へアクセスできる可能性があります。

FortinetのCVSS v3.1評価は8.9（High）で、主な条件は次のとおりです。

• Attack Vector：Network
• Attack Complexity：Low
• Privileges Required：None
• User Interaction：None
• Scope：Changed

認証も利用者の操作も不要と評価されているため、FortiSandboxのWeb UIへ到達できる攻撃者を前提にすると、悪用条件は限定的ではありません。

ただし、9月9日時点でFortinetやCISAが実際の攻撃での悪用を確認したとの一次情報はありません。

CVE-2026-26084の対象バージョンと修正版

FortinetのCVEレコードに登録された影響範囲は次のとおりです。

製品	影響を受けるバージョン	修正版・対応
FortiSandbox	5.0.0～5.0.5	5.0.6以降、または5.2.0以降
FortiSandbox	4.4.0～4.4.8	4.4.9以降
FortiSandbox	4.2.1～4.2.8	公開CVEレコードでは修正版4.2系の指定なし。サポートされる修正版系統への移行を確認
FortiSandbox Cloud	5.0.4～5.0.5	5.0.6以降
FortiSandbox PaaS	5.0.4～5.0.5	5.0.6以降、5.2.0以降、またはFortinetが示す修正版系統

CVEレコードではFortiSandbox PaaS向けの修正版として4.4.9以降も記載されています。

運用中のエディションとバージョンによって移行先が異なるため、実際の更新ではPSIRT Advisory FG-IR-26-166とサポート契約上の推奨バージョンを照合します。

関連記事：Fortinet、FortiSandboxの重大な脆弱性2件を修正（CVE-2026-39813、CVE-2026-39808）

CVE-2026-26084の「CVSS 9.9」と「8.9」が混在する理由

起点となったSecurityOnlineの記事では、CVE-2026-26084をCVSS 9.9（Critical）としています。

一方、FortinetがCVE CNAとして登録したCVEレコードでは、CVSS v3.1スコアは8.9（High）です。

NVD側では、基本ベクトルから9.9（Critical）として表示されるデータが確認できますが、FortinetのCNAレコードにはExploit Maturity、Remediation Level、Report Confidenceなどを含む評価として8.9が登録されています。

本記事では、一次情報を優先し、Fortinet CNAの8.9（High）を採用しています。

このように、同じCVEでもデータベースや評価時点によって表示されるスコアが異なる場合があります。脆弱性管理では数字だけを取り込まず、スコアの提供元とベクトルを確認します。

FortiPAMはブラウザ拡張機能の認証不備

FortinetのPSIRT Advisory FG-IR-26-168は、Fortinet Privileged Access Agent Chrome拡張機能に存在する認証不備です。

FortinetはCWE-287（Improper Authentication）、CVSS v3 9.1と評価しています。

公開情報では、リモートの未認証攻撃者が、利用者に悪意あるWebサイトを閲覧させた場合、利用者のブラウザ通信を攻撃者が制御するサーバー経由に変更できる可能性があると説明されています。

FortiPAMは特権アカウントの認証情報やアクセスを管理する製品です。

Fortinetの公式ドキュメントによると、Fortinet Privileged Access AgentはChromeやEdgeで利用でき、FortiPAMのWeb Launcherから対象サーバーへアクセスする際の認証情報自動入力やセッション記録などに使われます。

さらにFortiPAMのWeb Proxy機能では、この拡張機能がブラウザの通信をFortiPAM Web Proxyへ誘導する仕組みを利用します。

今回の問題は、このブラウザ通信経路に関わるコンポーネントの認証処理が対象です。

「FortiPAMの保管パスワードが漏えいした」「攻撃者がFortiPAMサーバーの管理者権限を取得できる」とまでは、Fortinetの公開説明から確認できません。

Fortinet Privileged Access Agentは8.0.1.123を確認

Chrome Web Storeでは、Fortinet Privileged Access Agentのバージョン8.0.1.123が公開されており、更新日は2026年7月31日です。

9月9日時点のChrome Web Storeでは約100万ユーザーと表示されています。

ただし、この数字は拡張機能のChrome Web Store上の利用者数であり、「100万人が脆弱だった」「100万人が攻撃を受けた」という意味ではありません。

企業では、Chrome Web Storeに修正版が存在することだけでなく、管理対象ブラウザへ実際に新バージョンが配信・反映されているかを確認します。

Chrome Enterpriseやブラウザ管理ポリシーで拡張機能を固定・配布している場合、クライアント側の実バージョン確認が必要です。

実悪用・PoC・CISA KEVの状況

2026年9月9日時点で、今回確認したFortinetの公開情報、CVEレコード、CISAの情報から、3件が実際の攻撃で悪用されたとの確認はありません。

CVE-2026-26084については、CISAによるCVE enrichmentでもExploitationは「none」とされ、CISA KEV Catalogにも掲載されていません。

また、今回の記事作成時点で、信頼できる公開PoCの存在も確認できませんでした。

この状況は、「悪用できない」「攻撃が今後発生しない」という意味ではありません。

FortiMonitorは未認証での認証回避、FortiSandboxはネットワーク経由・認証不要、FortiPAM関連の問題は特権アクセスに利用されるブラウザ拡張機能が対象です。対象環境がある場合は、実悪用情報の有無だけで更新を先送りしない方がよい構成です。

FortiSandboxでは2026年6月、別のCVE-2026-39813、CVE-2026-39808、CVE-2026-25089について実攻撃での悪用が報告されています。今回のCVE-2026-26084とは別の脆弱性であり、悪用状況を混同しないようにします。

関連記事：Fortinet FortiSandboxの3件の脆弱性がサイバー攻撃に悪用（CVE-2026-39813・CVE-2026-39808・CVE-2026-25089）

3件の対応優先度をどう決めるか

3件は対象製品と攻撃条件が異なるため、CVSSだけで一列に並べるより、自社環境への露出を確認します。

FortiMonitor OnSight

確認する項目は、

• 稼働バージョンが7.2.8以降か
• OnSight Webポータルへどのネットワークから到達できるか
• インターネットから管理画面へ直接到達できないか
• 管理アクセスを許可しているIPやセグメントは適切か

です。

認証回避の対象が管理用Web GUIであるため、未更新かつ広いネットワークから到達できる環境は先に切り分けます。

FortiSandbox

確認する項目は、

• FortiSandbox、Cloud、PaaSのどれを利用しているか
• バージョンがCVE-2026-26084の対象か
• Web UIへの到達元を必要最小限に制限しているか
• 5.0.6、4.4.9、5.2系など修正版へ移行できるか

です。

特にオンプレミスのFortiSandbox 4.2系が残っている場合、CVEレコード上では4.2.1～4.2.8が影響対象に含まれる一方、4.2系の修正版は解決策に明記されていません。保守状況を確認し、Fortinetがサポートする修正版系統への移行を判断します。

FortiPAM / Privileged Access Agent

確認する項目は、

• Fortinet Privileged Access AgentをChrome／Edgeへ導入しているか
• クライアント上の拡張機能バージョン
• FortiPAMのサーバー側更新状況
• Web LauncherやWeb Proxy機能を使用しているか
• 拡張機能を企業ポリシーで固定していないか

です。

PAM製品は特権アカウントへのアクセス経路に置かれるため、通常のブラウザ拡張機能と同じ扱いにせず、PAM運用チームとエンドポイント管理チームの双方で更新状況を確認します。

情報システム・セキュリティ部門への示唆

今回の3件は、いずれもセキュリティ監視・管理・特権アクセスに関わる製品が対象です。

一般的な業務アプリケーションの脆弱性と異なり、侵害された場合に「セキュリティを管理する側の基盤」が影響を受ける可能性があります。

情報システム部門では次の項目を確認できます。

• FortiMonitor OnSight、FortiSandbox、FortiPAMの利用有無を資産台帳で確認する
• 製品名だけでなく実バージョンを取得する
• FortiMonitor OnSightが7.2.8以降か確認する
• FortiSandboxが4.2.1～4.2.8、4.4.0～4.4.8、5.0.0～5.0.5に該当しないか確認する
• FortiSandbox Cloud／PaaSの5.0.4～5.0.5利用有無を確認する
• Fortinet Privileged Access Agentの実バージョンを管理ブラウザから取得する
• Chrome／Edgeの拡張機能更新がポリシーで止まっていないか確認する
• 管理Web UIをインターネットへ直接公開していないか確認する
• 管理ネットワークからのみアクセスできる構成か確認する
• 更新後に製品・拡張機能のバージョンを再取得する
• Fortinet PSIRTの更新情報を継続監視する
• 実悪用が後日確認された場合に対象資産を再抽出できるようにする

今回のようにFortinetが同日に複数製品のPSIRTを公開した場合、「Fortinet製品を使っているか」だけでは対応対象を判断できません。

製品、エディション、バージョン、管理画面の到達性、ブラウザ拡張機能まで分けて確認すると、実際に更新が必要な資産を絞り込めます。

出典

• JWT used for authentication in web GUI signed with static key（FG-IR-26-170） – Fortinet PSIRT
• Unauthenticated Control of NAT Rules Leading to Exposure of Sensitive Information（FG-IR-26-166） – Fortinet PSIRT
• Improper Authentication of FortiPAM Server（FG-IR-26-168） – Fortinet PSIRT
• CVE-2026-26084 – CVE Program
• FortiMonitor OnSight 100F Release Notes – Fortinet
• OnSight Security – Fortinet
• Fortinet Privileged Access Agent – Chrome Web Store
• Client software – FortiPAM – Fortinet
• Web proxy – FortiPAM – Fortinet
• Known Exploited Vulnerabilities Catalog – CISA