MENU
てとらのITなブログ
  1. ホーム
  2. セキュリティ
  3. FortiSandboxの認証回避の脆弱性CVE-2026-107656｜対象のバージョンと直ったバージョン

FortiSandboxの認証回避の脆弱性CVE-2026-107656｜対象のバージョンと直ったバージョン

セキュリティ
FortiSandboxの管理画面の、認証回避の脆弱性CVE-2026-107656。直ったバージョンは5.0.7以降と4.4.10以降。まず、管理画面の「Firmware Version」か、CLIの status でバージョンを確かめる。5.0.0〜5.0.6なら5.0.7以降に、4.4.0〜4.4.9なら4.4.10以降に上げる。5.2系は対象外。上げる前に、設定のコピーを取っておく。FortiSandboxを管理している人へ

FortiSandboxの管理画面（GUI）で、認証を回避される脆弱性CVE-2026-107656が見つかりました。対象は5.0.0から5.0.6と、4.4.0から4.4.9です。5.0.7以降か4.4.10以降に上げると直ります。5.2系は対象外です。

FortiSandboxを管理している人は、まずファームウェアのバージョンを確認し、当てはまれば直ったバージョンに上げてください。勧告には、アップデートのほかの回避策は書かれていません。

  • 2026年10月28日8時30分（日本時間）時点の情報です。
  • 深刻度はCritical、CVSS v3.1は9.6です。Fortinetの勧告とCVEの記録にある、Fortinetが付けた値です。NVDでは同じFortinetの値として、基本の項目だけのベクトルで9.8と出ています。NISTの評価は、まだ出ていません。
  • 攻撃者が細工したHTTPリクエストを送ると、ログインしていなくても認証を回避され、許可されていないコードやコマンドを実行されるおそれがあります。
  • Fortinetは10月13日に勧告を公開し、CVEの記録は10月26日22時45分（日本時間）に公開されました。
目次

結論：当てはまるかと、やること

今のバージョン やること
5.2系 対象外。この脆弱性のための作業はない
5.0.0〜5.0.6 5.0.7以降に上げる
4.4.0〜4.4.9 4.4.10以降に上げる
4.2系 CVEの記録で対象。4.2系の直ったバージョンはないため、4.4.0を経て4.4.10に上げる。5.0.7にするときは、4.4.0から5.0.0を経て上げる

CVE-2026-107656とは

FortiSandboxは、FortiGateやFortiMailなどと組み合わせて使う、Fortinetの製品です。怪しいファイルを仮想マシンの中で動かし、その動きから危険度を決めます。PaaSの形でも提供されています。

CVE-2026-107656は、管理画面のアクセス制御とセッションの扱いに不備があった問題です。分類はCWE-288（別の経路や手段による認証の回避）です。

項目 内容
勧告の番号 FG-IR-26-185
場所 管理画面（GUI）
深刻度 Critical（CVSS v3.1 9.6、Fortinetの勧告）
攻撃の条件 認証なし
起きうること 許可されていないコードやコマンドの実行
悪用 勧告では確認されていない

10月28日8時30分（日本時間）の時点で、CISAのKEV（悪用が確認された脆弱性の一覧、カタログのバージョン2026.10.27、日本時間10月28日4時更新）にもCVE-2026-107656は載っていません。

対象のバージョンと直ったバージョン

Fortinetの勧告の表は次のとおりです。

製品 対象と直ったバージョン
FortiSandbox 5.2 対象外
FortiSandbox 5.0 5.0.0〜5.0.6が対象。5.0.7以降で直った
FortiSandbox 4.4 4.4.0〜4.4.9が対象。4.4.10以降で直った
PaaS 5.2 対象外
PaaS 5.0 5.0.0〜5.0.6が対象。5.0.7以降で直った
PaaS 4.4 すべてが対象。直ったバージョンに移る（CVEの記録の解決策ではPaaS 5.0.7以降）

4.2系はCVEの記録で対象

勧告の表に4.2系の行はありません。いっぽう、Fortinetが登録したCVEの記録では、FortiSandboxとPaaSの4.2.1から4.2.8も対象に入っています。NVDにも、4.2系が対象と載っています。

CVEの記録の解決策に、4.2系の直ったバージョンは挙げられていません。4.2系を使っている場合は、4.4系や5.0系の直ったバージョンに移ります。

5.0.7と4.4.10のリリースノートの、上げられる道すじの表には、4.2系からの行はありません。4.4.9のリリースノートの表では、4.2.0〜4.2.8から4.4.0に上げられます。そのあとは、4.4.10か、5.0.0を経て5.0.7に上げます。500Gと1500Gのモデルは道すじが違うため、4.4.9のリリースノートで確認してください。

自分のバージョンを確かめる

管理画面で見るとき

Dashboardの「System Information」ウィジェットの「Firmware Version」に、バージョンとビルド番号が出ます。

CLIで見るとき

status

status は、ファームウェアのバージョンやシリアル番号、システムの時刻などを表示するコマンドです。

直ったバージョンに上げる

詳しい手順は、5.0.7と4.4.10のリリースノートの「Upgrade Information」にあります。

上げられる道すじ

今のバージョン 上げる先
5.0.0〜5.0.6 5.0.7
4.4.0〜4.4.9 4.4.10、または5.0.0を経て5.0.7
4.2.0〜4.2.8 4.4.0（そのあと上の行のとおり）

5.0.7や4.4.10に上げたあと、前のバージョンに戻すことはサポートされていません（どちらのリリースノートにも書かれています）。

1. 設定を保存しておく

上げる前に、設定のコピーを取っておきます。

  • 5.0.7では、System > System Recoveryを開く
  • 4.4.10では、Dashboard > System Configuration > Backupを開く

2. ファームウェアを手に入れる

ファームウェアのイメージは、FortinetのCustomer Service & Supportのポータルからダウンロードします。ダッシュボードに「New firmware available」が点滅しているときは、そこから選ぶこともできます。

3. 管理画面から上げる

5.0.7のリリースノートでは、Dashboard > Statusで「System Information」ウィジェットを開き、「Update Firmware」を選びます。

4.4.10のリリースノートでは、System > Dashboardの「System Information」ウィジェットで、「Firmware Version」の横の「Update」を選びます。

どちらも、管理用のパソコンにあるイメージを選んで「Submit」を押します。

CLIから上げるとき

SCPかFTPで取り出せるサーバーにイメージを置き、次のコマンドを打ちます。<>の中は自分の環境に合わせて書きかえます。

fw-upgrade -b -s<SCP/FTP server IP address> -u<user name> -t<ftp|scp> -f<file path>

クラスター構成のとき

次の順番で上げます。

  1. ワーカーを上げ、新しいratingとtracerのエンジンを入れて、起動しきるまで待つ
  2. セカンダリーを上げ、同じくエンジンを入れて、起動しきるまで待つ
  3. プライマリーを上げる（ここでフェイルオーバーが起きる）
  4. 前のプライマリーにエンジンを入れる

上げたあと

管理画面を使う場合は、画面を正しく表示させるため、ログインの前にブラウザーのキャッシュを消してください。

PaaSを使っているとき

PaaS 5.0は5.0.7以降が直ったバージョンです。PaaS 4.4はすべてのバージョンが対象で、勧告では直ったバージョンに移るよう書かれています。CVEの記録の解決策では、PaaSは5.0.7以降に上げるとされています。PaaSはメインのリリースとは別に管理されていて、PaaSのリリースノートの表にあるビルドを使って上げます。

参考にした公式の情報

セキュリティ
よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！

この記事を書いた人

てとらのアバター てとら

社内エンジニアとして、SREとセキュリティの仕事をしています。サーバーの構築や運用、クラウド環境の設計にも関わってきました。趣味はゲームと漫画・アニメ。

関連記事

コメント

コメントする

目次