数千台規模のFortiGateを社内外ネットワークの境界に配置し、年次のセキュリティ監査を受ける企業のネットワーク運用担当者は、いったんパッチを当てた脆弱性がなぜ再び注意喚起の対象になるのか疑問に思うはずだ。対象はFortinetのFortiOS、具体的には過去に配布された「シンボリックリンク（ファイルの実体を指す別名のようなファイル）永続化対策」パッチそのものを迂回できる脆弱性CVE-2025-68686である。米CISA（サイバーセキュリティ・インフラセキュリティ庁）は2026年7月27日、この脆弱性をKEV（CISAが管理する、実際に悪用が確認された脆弱性の一覧）カタログに追加し、米連邦文民機関には2026年8月10日までの是正を求めた[1]。単独では悪用できないが、過去に侵害を受けた端末では話が変わる。年次監査でパッチ適用の記録は確認しても、侵害の痕跡そのものを再点検する項目が用意されている組織は多くない。本稿は、パッチ適用済みという安心が通用しない典型パターンとして、この事案の技術的な経緯と運用上の点検ポイントを整理する。
予備知識
- シンボリックリンク: あるファイルやフォルダの実体を指す別名ファイル。攻撃者が悪用すると、本来アクセスできない領域への抜け道になる。
- KEVカタログ: CISAが管理する「実際に悪用が確認された脆弱性」の一覧。掲載されると米連邦機関に是正期限が課される。
- パッチのバイパス: ベンダーが配布した修正プログラムそのものに残る不備を突き、修正前と同じ状態を再現する手口。
- CVSS: 脆弱性の深刻度を0〜10の数値で示す共通の指標。数値だけでなく、悪用の前提条件を合わせて読む必要がある。
FortiGateのような境界機器一点防御の限界と、侵害を前提にした設計思想を学べる
CVE-2025-68686とは何か——過去の対策パッチ自体に残っていた抜け穴
CVE-2025-68686は、Fortinetが過去に配布したシンボリックリンク永続化対策パッチを、未認証のまま迂回できる情報漏えい脆弱性である。脆弱性分類はCWE-200（機微情報の露出）で、CVSSスコアは5.3にとどまる[2][3]。対策パッチは、SSL-VPNの言語ファイル用ディレクトリに設置されたシンボリックリンクを検知して読み取りを遮断する仕組みだったが、リクエストパスに余分なスラッシュを一つ加えるだけで、この検知ロジックをすり抜けられることが分かった[3]。Fortinet自身のPSIRT（製品セキュリティインシデント対応チーム）アドバイザリFG-IR-25-934は、2026年2月10日に初版が公開されている[4]。対象はFortiOS 7.6.0〜7.6.1、7.4.0〜7.4.6、および7.2・7.0・6.4の各系列全バージョンと幅広い[2][3][4]。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2025-68686 |
| CVSSスコア | 5.3 |
| 脆弱性分類 | 機微情報の露出（CWE-200） |
| 影響バージョン | FortiOS 7.6.0-7.6.1／7.4.0-7.4.6／7.2・7.0・6.4の全バージョン |
| 修正バージョン | FortiOS 7.6.2以降／7.4.7以降（7.2・7.0・6.4系は保守対象の後継バージョンへの移行を推奨） |
| Fortinet初版公開 | 2026年2月10日（FG-IR-25-934） |
| CISA KEV追加日 | 2026年7月27日 |
| 米連邦機関の是正期限 | 2026年8月10日 |
パッチ適用済み環境で侵害の痕跡が残っていないかを調べる実務手順を体系的に学べる
なぜ一度直したはずの対策が再び破られたのか——シンボリックリンク永続化の経緯
この脆弱性の背景には、2023年ごろから続くFortiGate侵害で、攻撃者がシンボリックリンクを使った持続的な読み取りアクセスを確立してきたという経緯がある。攻撃者はCVE-2022-42475、CVE-2023-27997、CVE-2024-21762などの脆弱性でまずFortiGateに侵入し、SSL-VPNの言語ファイル用ディレクトリにユーザー領域とルートファイルシステムをつなぐシンボリックリンクを設置した[8][9][10]。この手口が広く報道されたのは2025年4月で、Fortinetが原因の解説を公開し、Shadowserver Foundationの調査では2025年4月15日時点で世界で1万6千台超のFortiGateが侵害された状態にあると報告された[8][9]。Fortinetはこの時点で検知パッチを配布したが、パッチはリクエストパス中の「/lang/custom」という文字列を単純一致で探す仕組みだった[3]。攻撃者が「/lang//custom」のようにスラッシュを一つ加えて送ると、文字列一致の判定は外れる一方、Webサーバー側ではパスが正規化されて元のファイルにアクセスできてしまう[3]。特定の攻撃手口だけをふさぐ対策が、根本原因を残したまま迂回されたと見てよい。この経緯は、単発のバグ修正ではなく、パスの正規化やアクセス制御の設計そのものを見直さない限り同種の迂回策が繰り返されうることを示している。
社内向けのDNS運用は、長らくVPN専用機器やActive Directory統合DNSサーバーなど、パブリックDNSとは別建ての基盤で行われてきた。ネットワーク・インフラ運用チームにとって、この二重構成は監査ログの分断や設定ドリフトの温[…]
単独のCVSS5.3がなぜ緊急指定を受けたのか——KEV追加と悪用の前提条件
CVE-2025-68686はCVSS5.3で単独では悪用できないが、既にファイルシステムを侵害された端末では対策パッチを無効化するため、CISAはKEVカタログに追加し米連邦機関に是正期限を課した。悪用にはまず、CVE-2022-42475など既存のリモートコード実行脆弱性でファイルシステムレベルの侵害を受けていることが前提になる[2][3]。この前提を満たさない端末に対しては、この脆弱性単体で新たな被害は生じない[2][3]。CISAは2026年7月27日、Arista VeloCloud Orchestratorの脆弱性と合わせてこの脆弱性をKEVカタログに追加し、米連邦文民機関に対して2026年8月10日までの是正を求めた[1][5][6][7]。KEV掲載の基準は深刻度の数値ではなく、実際の悪用が確認されたかどうかにある[1]。CVSS5.3という数値だけを見て優先度を下げると、既に侵害されている端末の「掃除したはずが再燃する」リスクを見落とす。CVSSは脆弱性単体の技術的な深刻度を測る指標であり、対象端末が既に侵害されているかどうかという運用上の文脈までは反映しない。パッチ適用の優先順位付けをCVSS値だけで機械的に決めている組織ほど、この種の「前提条件付き」脆弱性を見落としやすい。
権威DNSサーバの代表格であるISC BIND 9で、DNSSEC（DNS応答の改ざんを電子署名で検証する仕組み）の検証をすり抜けられる脆弱性が見つかった。Internet Systems Consortium（ISC）は2026年7月2[…]
国内のFortiGate環境でも同じ再燃は起きるのか——保守契約と資産棚卸しの死角
FortiGateは日本の中堅〜大企業でも境界機器として広く使われており、同じ構図はそのまま国内でも成立する。違いが出るとすれば体制側にある。多くの企業はFortiGateの保守をSIer（システムインテグレーター）に委託しており、パッチ適用そのものはSIerが淡々と進める一方、「過去に侵害を受けた痕跡が残っていないか」という調査は保守契約の範囲外になりやすい。稟議を通してパッチ適用を承認する場面でも、対象は「脆弱性番号と修正版への更新」に閉じがちで、侵害有無の再点検までは議題に上がりにくい。数年単位で構成変更のないFortiGateほど、初期設定時の担当者が離任し、過去の侵害有無を確認できる人材が社内に残っていない場合もある。
| 論点 | IT部門の判断 | 決裁側の判断材料 |
|---|---|---|
| パッチ適用 | 対象バージョンかを即座に確認し7.6.2/7.4.7へ更新 | 更新自体は通常の保守範囲で承認可 |
| 侵害有無の再点検 | 過去のCVE-2022-42475等の侵害履歴とログを再確認 | 追加の調査工数を保守契約の範囲外として別途承認するか判断 |
MBAファシリテーション＆ネゴシエーション講義ノート Day6/全6回（最終回） この記事でわかること 交渉の障害を3つに分類する視点（論理的構造・認知感情・環境） あるプロスポーツリーグのロックアウト――交渉が決裂に至るメカニズム […]
まとめ
CVE-2025-68686は、Fortinetが過去に配布したシンボリックリンク永続化対策そのものを迂回する脆弱性で、2026年7月27日にCISAのKEVカタログに追加された。単独では悪用できないという性質上、過去に一度でも境界を突破された端末があるかどうかが対応の分岐点になる。IT部門の次の一手は二つある。FortiOSを7.6.2または7.4.7以降へ更新すること、そして過去にCVE-2022-42475などで侵害歴がないかログを再確認することだ。決裁側は、パッチ適用の承認だけでなく、侵害有無の再点検に要する追加工数を別枠の判断材料に含めておくとよい。パッチ済みという状態は、侵害がなかったことの証明にはならない。
よくある質問（FAQ）
Q1. CVE-2025-68686とは何ですか。
A. Fortinetが過去に配布したシンボリックリンク永続化対策パッチを、未認証のまま迂回できる情報漏えい脆弱性。CVSSスコアは5.3[2][3]。
Q2. 自社のFortiGateも危険ですか。
A. 過去にCVE-2022-42475などでファイルシステムレベルの侵害を受けていない端末には、この脆弱性単体での新たな被害はない。ただし侵害歴が不明な場合は再点検が必要[2][3]。
Q3. どう対応すべきですか。
A. FortiOSを7.6.2または7.4.7以降へ更新し、7.2・7.0・6.4系は保守対象の後継バージョンへ移行する。合わせて過去の侵害ログを確認する[2][3][4]。
