1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. Fortinet、FortiGateの古い2FA回避 脆弱性が悪用されていると注意喚起(CVE-2020-128129)

Fortinet、FortiGateの古い2FA回避 脆弱性が悪用されていると注意喚起(CVE-2020-128129)

セキュリティニュース

投稿日時: 更新日時:

Fortinet、FortiGateの古い2FA回避 脆弱性が悪用されていると注意喚起(CVE-2020-128129)

Fortinet は2025年12月、同社製ファイアウォール（FortiGate）に影響する認証回避の脆弱性（CVE-2020-12812）が、現在も実環境で悪用されていることを公式に認め、注意喚起を行いました。


この脆弱性は約5年前の2020年に修正済みですが、世界で1万台以上のFortinetファイアウォールがいまだにインターネット上に露出し、攻撃可能な状態にあると報告されています。

悪用が確認されている脆弱性の概要（CVE-2020-12812）

CVE-2020-12812は、FortiGateのSSL VPNおよび管理者認証機能における重大な認証不備です。
LDAP連携と二要素認証（2FA）を併用している特定の構成において、ユーザー名の大文字・小文字の違いを悪用することで2FAを回避できてしまうという問題です。

深刻度はCVSSスコア9.8とされており、管理者権限やVPNアクセスを2要素認証なしで突破されるリスクがあります。

攻撃が成立する条件と技術的背景

Fortinetの公式分析によると、以下の条件がそろった場合に攻撃が成立します。

  • FortiGateでLDAP認証を有効化している

  • LDAPと連携したローカルユーザーに2FAを設定している

  • LDAPグループを用いた認証ポリシーが存在する

FortiGateはユーザー名を大文字・小文字を区別して扱う仕様である一方、LDAP側は区別しないケースがあります。この挙動の差により、

  • 正確なユーザー名（例：jsmith） → 2FAが要求される

  • 大文字・小文字を変えたユーザー名（例：JSmith） → ローカルユーザーと一致せず、LDAP認証へフォールバック

という流れが発生し、結果として2FAなしでの認証が成功してしまいます。

実際の被害状況とインターネット露出の実態

Shadowserverによると、2026年初頭時点で1万台以上のFortinetファイアウォールが未対策のまま公開状態にあり、そのうち約1,300台が米国に存在するとされています。

また、CISA とFBIはすでに2021年時点で、
この脆弱性がランサムウェア攻撃や国家支援型攻撃グループによって悪用されていると警告していました。

CISAはその後、CVE-2020-12812をKEV（既知の悪用脆弱性）カタログに追加し、米連邦機関に対して是正を義務付けています。

Fortinet公式リリースで明らかになった最新の悪用状況

Fortinetは2025年12月24日付のPSIRTブログで、特定の構成環境において現在も本脆弱性の悪用を観測していると明言しました。

同社は、もしこの脆弱性を悪用された形跡がある場合、
「システムは侵害されたものとして扱い、すべての認証情報をリセットすべき」としています。

これは、VPNアカウントだけでなく、LDAP/Active Directoryの資格情報も含まれます。

公式が推奨する対策・緩和策

Fortinetは、以下の対策を強く推奨しています。

修正済みバージョンへのアップデート

  • FortiOS 6.0.10 / 6.2.4 / 6.4.1 以降へアップデート

設定による暫定対策

アップデートが困難な場合は、ユーザー名の大文字・小文字を区別しない設定を有効化します。

  • 古いバージョン：

set username-case-sensitivity disable

  • 新しいバージョン：

set username-sensitivity disable

これにより、jsmith と JSmith などが同一ユーザーとして扱われ、LDAPへの不正フォールバックが防止されます。

追加の構成見直し

  • 不要なLDAPグループ認証設定の削除

  • 2次的なLDAP認証ポリシーの整理

Fortinet製品を狙う攻撃が相次ぐ背景

Fortinet製品は世界的に広く利用されており、企業ネットワークの境界防御を担う重要インフラであるため、
ゼロデイや既知脆弱性を問わず、攻撃者から継続的に狙われています。

直近でも以下のような事例が報告されています。

  • FortiWebのゼロデイ脆弱性の連続悪用

  • 管理者アカウントを乗っ取るSSO認証回避の悪用

  • 国家支援型グループによるバックドア設置事例

関連記事

Fortinetが440GBのデータを窃取される 脅威アクターがサードパーティー経由でハッキングかFortinetが440GBのデータを窃取される 脅威アクターがサードパーティー経由でハッキングか FortinetのSSO 脆弱性、公開直後から悪用を確認(CVE-2025-59718,CVE-2025-59719)FortinetのSSO 脆弱性、公開直後から悪用を確認(CVE-2025-59718,CVE-2025-59719) Fortinet、FortiWeb「未認証管理者乗っ取り」ゼロデイ 脆弱性を修正、既にサイバー攻撃への悪用事例あり(CVE-2025-64446)Fortinet、FortiWeb「未認証管理者乗っ取り」ゼロデイ 脆弱性を修正、既にサイバー攻撃への悪用事例あり(CVE-2025-64446) Node.js向けのアーカイブ展開ライブラリ「tar-fs」で深刻な脆弱性 CVE-2025-48387Node.js向けのアーカイブ展開ライブラリ「tar-fs」で深刻な脆弱性 CVE-2025-48387 TDSSKillerを悪用してEDRを無効化する-1RansomHubがカスペルスキーのツールを悪用してEDRの検出を回避する Microsoft、Excel(エクセル)の外部リンクを制限へ-高リスクファイルタイプの自動ブロックを開始Microsoft、Excel(エクセル)の外部リンクを制限へ-高リスクファイルタイプの自動ブロックを開始 Windows Cloud Files Mini Filter Driver の脆弱性を悪用するPoCエクスプロイトが公開(CVE-2020-17136,CVE-2025-55680)Windows Cloud Files Mini Filter Driver の脆弱性を悪用するPoCエクスプロイトが公開(CVE-2020-17136,CVE-2025-55680) 北朝鮮関連のマルウェアがWindows、Linux、macOSの開発者を標的に北朝鮮のマルウェアがWindows、Linux、macOSのシステムエンジニアを標的に CISA、FortiWebのゼロデイ「CVE-2025-58034」をKEVに追加CISA、FortiWebのゼロデイ「CVE-2025-58034」をKEVに追加