1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. ハッカー集団・脅威アクターに関する動向
  5. FortinetのSSO 脆弱性、公開直後から悪用を確認(CVE-2025-59718,CVE-2025-59719)

FortinetのSSO 脆弱性、公開直後から悪用を確認(CVE-2025-59718,CVE-2025-59719)

セキュリティニュース

投稿日時: 更新日時:

FortinetのSSO 脆弱性、公開直後から悪用を確認(CVE-2025-59718,CVE-2025-59719)

セキュリティ企業 Arctic Wolf Labs は、12月12日ごろから Fortinet 製品に対する不審なシングルサインオン（SSO）ログインが立て続けに観測されていると報告しました。

これは、Fortinet が12月9日に公表した認証バイパス脆弱性「CVE-2025-59718」「CVE-2025-59719」が、早くも実際の攻撃に使われているケースとみられます。対象は FortiGate だけでなく、FortiProxy や FortiWeb など複数製品に及びます。

問題となっている脆弱性

今回の2件のCVEは、FortiCloud SSO 機能が有効になっている環境で、細工された SAML メッセージを送り込まれると本来の認証プロセスをすり抜けて管理画面にログインできてしまうという問題です。

影響があるとされているのは、以下の製品です。

  • FortiOS（FortiGate）

  • FortiProxy

  • FortiWeb

  • FortiSwitchManager

Fortinet は、初期状態では FortiCloud SSO ログインは無効になっていると説明していますが、GUI から FortiCare 登録を行う際に、「FortiCloud SSO を用いた管理者ログインを許可」のチェックを外さないと自動的に有効化される場合があり、知らないうちに危険な状態になっているケースも考えられます。

実際に確認された攻撃パターン

Arctic Wolf が調査したインシデントでは、インターネット上のホスティング事業者に割り当てられた複数の IP アドレスから、FortiGate の管理者アカウント（admin）への SSO ログインが成功しているログが見つかりました。

ログには次のような記録が残っていたといいます。

user="admin" ui="sso(199.247.7[.]82)" method="sso"

SSO経由での admin ログインの直後、同じ IP に対して GUI からシステム設定ファイル（config）のダウンロードが行われており、侵入した攻撃者がまず設定一式を持ち帰ったとみられます。

設定ファイルに含まれる各種パスワードはハッシュ化されていますが、攻撃者側でオフラインの総当たり攻撃を行えば、弱いパスワードは時間をかけて割り出されてしまいます。ファイアウォールのルールやVPN設定、内部ネットワークの構成なども含め、ネットワーク全体の詳細な情報が盗まれた可能性があります。

影響を受けるバージョンと修正版

Fortinet は既に修正版を公開しています。Arctic Wolf は、影響を受ける可能性のある環境では、対象バージョンを確認し、早急にアップグレードするよう呼びかけています。主な FortiOS の影響範囲と修正版は次の通りです。

  • FortiOS 7.6：7.6.0〜7.6.3 → 修正版 7.6.4 以降

  • FortiOS 7.4：7.4.0〜7.4.8 → 修正版 7.4.9 以降

  • FortiOS 7.2：7.2.0〜7.2.11 → 修正版 7.2.12 以降

  • FortiOS 7.0：7.0.0〜7.0.17 → 修正版 7.0.18 以降

FortiProxy、FortiWeb、FortiSwitchManager についても同様に修正版が用意されています。なお、FortiOS 6.4 系や一部の FortiWeb バージョンは今回の脆弱性の対象外とされています。

管理者が今すぐ確認しておきたいこと

Arctic Wolf は、Fortinet 製品を利用している組織に対し、次のポイントを順番に確認することを勧めています。

  1. 管理ログに怪しいSSOログインがないかをチェックする
    管理ログに ui="sso(…IPアドレス…)" といった形のログイン記録がないか確認します。特に、普段使っていないIPアドレスから admin でログインされていないかがポイントです。こうしたログインの直後に「config file has been downloaded」といったメッセージが残っていれば、設定ファイルが持ち出された可能性があります。

  2. 不審なログが見つかった場合の対応
    もし疑わしいログインや設定ダウンロードが確認できたら、その機器に関係するすべての認証情報を見直す必要があります。管理者パスワードはもちろん、VPNアカウントやその他のローカルユーザーも含めて変更します。同じパスワードを他の機器やサービスでも使い回している場合は、そちらも一括でローテーションするのが安全です。

  3. 管理インターフェースの公開範囲を見直す
    FortiGate の管理画面（HTTPS・SSH など）がインターネット側から直接アクセスできる状態になっていないか、改めて確認します。管理用ポートへのアクセスは、社内ネットワークや管理用VPNなど、信頼できる経路に限定しておくのが基本です。

  4. FortiCloud SSO ログインを一時的に無効化する
    パッチ適用までの暫定措置として、FortiCloud SSO ログイン自体を無効にすることもできます。
    GUI の場合：System → Settings で「Allow administrative login using FortiCloud SSO」のチェックを外す。

    config system global set admin-forticloud-sso-login disable end

関連記事

シングルサインオン（SSO）とは 概要や必要性を解説シングルサインオン（SSO）とは 概要や必要性を解説 Fortinet、FortiWeb「未認証管理者乗っ取り」ゼロデイ 脆弱性を修正、既にサイバー攻撃への悪用事例あり(CVE-2025-64446)Fortinet、FortiWeb「未認証管理者乗っ取り」ゼロデイ 脆弱性を修正、既にサイバー攻撃への悪用事例あり(CVE-2025-64446) CISA、FortiWebのゼロデイ「CVE-2025-58034」をKEVに追加CISA、FortiWebのゼロデイ「CVE-2025-58034」をKEVに追加 Fortinetで新たなゼロデイ脆弱性(CVE-2025-24472)Fortinetの新たな脆弱性がゼロデイ攻撃に悪用(CVE-2025-24472) FortinetがFortiOSとFortiProxyのゼロデイ攻撃を警告(CVE-2024-55591)FortinetがFortiOSとFortiProxyのゼロデイ攻撃を警告(CVE-2024-55591) Fortinet FortiWebの新ゼロデイ脆弱性(CVE-2025-58034)、サイバー攻撃への悪用確認-Fortinetが緊急アップデートを公開Fortinet FortiWebの新ゼロデイ 脆弱性(CVE-2025-58034)、サイバー攻撃への悪用確認-Fortinetが緊急アップデートを公開 FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471) SonicWallの重大な脆弱性(CVE-2024-40766)が悪用される可能性SonicWallの重大な脆弱性(CVE-2024-40766)を ランサムウェア 攻撃グループAkiraが悪用 Fortinet、FortiOS の重大な脆弱性を修正(CVE-2024-40591)Fortinet、FortiOS の重大な脆弱性を修正(CVE-2024-40591)