Fortinet、FortiVoiceのゼロデイ攻撃に悪用された脆弱性を修正（CVE-2025-32756）

Fortinetは、FortiVoiceをはじめとする複数製品に影響を及ぼす深刻なスタックベースバッファオーバーフロー脆弱性（CVE-2025-32756）について、セキュリティアドバイザリを発表し、修正パッチをリリースしました。
この脆弱性は、すでにFortiVoiceを標的としたサイバー攻撃に悪用された事例が確認されており、利用中の企業においては早急な対応が求められます。

脆弱性の概要

今回発見された脆弱性は、Fortinet製品に搭載されているAPIの処理に問題があり、リモートの未認証攻撃者が細工されたHTTPリクエストを送信することで、任意のコードやコマンドを実行できる可能性があるものです。
脆弱性の種別はCWE-121（スタックベースバッファオーバーフロー）に分類されています。

Fortinetは、実際にFortiVoice製品においてこの脆弱性がゼロデイ（公表前の未修正状態）で悪用されたことを確認しており、攻撃者による以下のような活動を観測しています。

• ネットワークスキャン

• システムのクラッシュログ消去

• fcgiデバッグ機能を悪用し、ログイン情報（SSH資格情報など）を収集

• 悪意あるスクリプトやマルウェアの設置

これらの攻撃活動に使用されたIPアドレスも複数特定されており、注意喚起が行われています。

影響を受ける製品とバージョン

今回の脆弱性は、以下のFortinet製品とそのバージョンに影響します。

Fortinetの推奨する対策

• 即時アップグレード
  上記対象バージョンを利用している場合は、必ず指定された対策バージョンへのアップグレードを実施してください。

• ワークアラウンド（暫定措置）
  すぐにアップグレードが困難な場合は、HTTP/HTTPSによる管理者インターフェースを無効化し、外部からの攻撃経路を遮断することが推奨されています。

• IoC（侵害の兆候）確認
  以下の兆候が確認された場合、侵害を受けている可能性があります。

  • diag debug application fcgi コマンド出力で “general to-file ENABLED” と表示される

  • 不審なcron設定や、マルウェアファイル（例：/bin/wpad_ac_helper, /lib/libfmlogin.so）の存在

  • 特定IPアドレスからの通信履歴（例：198.105.127.124など）

まとめ

今回発表されたCVE-2025-32756は、Fortinet製品群に広範囲に影響を及ぼす非常に重大な脆弱性です。
すでにゼロデイ攻撃が確認されているため、対象製品を運用している組織は即座に対応を開始することが強く推奨されます。

また、アップグレードだけでなく、IoC確認によるシステム監査も併せて実施し、すでに侵害されていないかを慎重に点検することが重要です。

関連記事

Fortinet、VPNの既知の脆弱性の「シンボリックリンク」を利用し不正アクセスを維持する活動を警告 Fortinetの新たな脆弱性がゼロデイ攻撃に悪用(CVE-2025-24472) 期限切れの悪意のあるドメインを利用して、4,000件以上のバックドアへ侵入 Windows版のVMware Tools に認証バイパスの脆弱性、対象者はアップデートを（CVE-2025-22230） マイクロソフト、タスクスケジューラーの脆弱性(CVE-2024-49039)を悪用したゼロデイ攻撃を確認 ランサムウェア「Phobos」とは 事例を交えて解説 ランサムウェア グループがWindowsのゼロデイ 脆弱性をサイバー攻撃に悪用(CVE-2025-29824) Fortinet FortiWLMで致命的な脆弱性(CVE-2023-34990) Fortinet、FortiSwitchの重大な脆弱性を修正、対象者はアップデートを(CVE-2024-48887)

投稿者：三村

セキュリティ対策Labのダークウェブの調査から執筆まで対応しています。 セキュリティ製品を販売する上場企業でSOC(セキュリティオペレーションセンター)や脆弱性の営業8年、その後一念発起しシステムエンジニアに転職。MDMや人事系のSaaS開発を行う。