FortiGate の管理画面に認証回避（CVE-2024-55591）— 最高権限の管理者を作られる

何が起きたか

2025年1月14日、Fortinet は FortiOS と FortiProxy に、ログインなしで最高権限（スーパー管理者）を取られる欠陥（CVE-2024-55591、CVSS 9.6〜9.8 と資料により差あり）があると公表しました。メーカーも攻撃を確認しており、米 CISA は KEV に加えました。2024年11月半ばから、不正な管理者ログインやアカウントの追加、設定の書き換えが起きていたと報告されています。

影響を受けたのは

• FortiOS 7.0.0〜7.0.16（修正版は 7.0.17 以降）
• FortiProxy 7.0.0〜7.0.19、7.2.0〜7.2.12
• 公表から1週間後でも、約5万台が未対策のままだったと報じられました

自社で確認したいこと

• 修正版へ更新する
• すぐ更新できないなら、管理画面をインターネットから見えなくするか、つなげる IP を絞る
• 見覚えのない管理者アカウントや設定の変更がないか、ログで確認する