FortiWeb にゼロデイ（CVE-2025-64446）— WAF 機器に認証なしで管理者アカウントを作られる

何が起きたか

2025年11月14日、Fortinet は WAF（Web サイトを守る装置）製品 FortiWeb の管理画面に、ファイルの場所の指定をごまかす手口（パストラバーサル）で認証なしに管理者のコマンドを実行される脆弱性 CVE-2025-64446 があると公表しました。公表前から攻撃に使われており、攻撃者が勝手に管理者アカウントを作る例が報告されています。CISA も KEV に追加しました。

影響を受けたのは

• FortiWeb 8.0.0〜8.0.1、7.6.0〜7.6.4、7.4.0〜7.4.9、7.2.0〜7.2.11、7.0.0〜7.0.11
• 特に、管理画面（HTTP / HTTPS）をインターネットに出していた機器

自社で確認したいこと

• 8.0.2 / 7.6.5 / 7.4.10 / 7.2.12 / 7.0.12 以降に更新する
• すぐ更新できない場合は、インターネット側のインターフェースで HTTP / HTTPS の管理アクセスを止める
• 見覚えのない管理者アカウントや設定の変更がないか確認する