対象：FortiGate（Fortinetのファイアウォール・VPN機器）を自社で運用している、または運用を委託している担当者。本記事はFortinet、米CISA、JPCERT/CC、シンガポールのCSA、米FBIと米シークレットサービスの公開情報にもとづく解説で、攻撃の手順や攻撃に使われたIPアドレスの一覧は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月26日（日本時間）時点まだ分かっていないこと
- 認証情報を最初に入手した方法（Fortinetは過去の事案の再利用と総当たりとみている）
- 国内で影響を受けた組織の数と名前
- Fortinetによる顧客への個別連絡の進み具合
米CISAが6月18日、Fortinetが6月19日、JPCERT/CCが6月23日に情報を出しました。10月6日には米FBIと米シークレットサービスが、攻撃は続いていると警告しています。新しい公表があれば、この記事を更新します。
今日やること
管理者とVPNのセッションを切り、パスワードを変える
有効な管理者のセッションとSSL VPNのセッションをすべて切ります。そのうえで、管理者とVPNのパスワードをすべて変えます。特にインターネットに出ている機器は必ず行います（Fortinet・CISA・FBI）。ほかのサービスと同じパスワードを使っていた場合は、そちらも変えます（当サイトの推奨）。
多要素認証をかける
管理者とVPNの全アカウントに多要素認証をかけます。CISAとFBIは、フィッシングに強い方式を求めています（パスキーや物理的なセキュリティキーが当たります）。方式の選び方は多要素認証の選び方にまとめています。
管理画面をインターネットから閉じる
FBIは、信頼できる送信元だけに絞る（良い）、ローカルインポリシーで絞る（より良い）、インターネットからの管理をやめる（最良）の3段階を示しています。最良の形を目指します。
ファームウェアを上げ、PBKDF2だけにする
Fortinetは7.4、7.6、8.0の最新版への更新を勧めています。PBKDF2（解読に時間がかかるパスワードの保存方式）は7.2.11、7.4.8、7.6.1から使えます。ただし、パスワードを変えても古い形式（SHA-256）の控えが設定に残るため、Fortinetの技術情報に沿って消します。手順は下の節で説明します。
設定とアカウントを確かめる
見覚えのない管理者アカウント、VPNユーザー、設定の変更がないかを、正常だったころの設定と比べて確かめます。Fortinetは、同社のサポートを装った名前（例：forticloud）のアカウントに注意するよう求めています。FBIは、REST APIのキーも見直し、身に覚えのないキーを消すよう求めています。
ログを確かめる
管理者ログイン、設定の書き出し、VPNのログイン元を確かめます。FortiGateをActive DirectoryやLDAPにつないでいる場合は、連携用のアカウントを漏れたものとみなし、ドメインコントローラーのログも確かめます（Fortinet・JPCERT/CC）。不審な点があれば、機器を切り離して記録を残し、Fortinetのサポートか、JPCERT/CCに相談します。
自分が対象かの早見表
| 状況 | 当サイトの判断 |
|---|---|
| FortiGateの管理画面かSSL VPNがインターネットから開ける | 対象と考えて、上の手順をすべて行う |
| 修正版のファームウェアに上げてある | パスワードの変更は必要（漏れたのは認証情報のため） |
| 7.2.11・7.4.8・7.6.1より前の版を使っている | PBKDF2が使えない。7.4以降への更新を計画する |
| 照会ツールで見つからなかった | 安心材料にしない（委託先などの代理登録では自社のドメイン名で出ないことがある） |
| 運用を委託している | 委託先に、パスワード変更・多要素認証・ログ確認の実施を確かめる |
| サイト間VPNで他社とつないでいる | 相手先が侵害された場合の影響も考える（JPCERT/CC） |
何が起きたのか（公的機関とFortinetの公表より）
2026年6月18日
米CISAが、各国の報告をもとに、約7万4千台のFortinet機器（ファイアウォールとVPNゲートウェイ）に関連する認証情報が漏れたとして、機器の設定を固めるよう注意喚起。6月22日にFortinetの情報へのリンクを追加。2026年6月19日
Fortinetが分析を公表。新しい脆弱性ではないとし、過去の事案で漏れた認証情報の再利用と、弱いパスワード・多要素認証のない機器への総当たりとの見解を示した。影響の可能性がある顧客に連絡するとした。2026年6月22日
シンガポールのサイバーセキュリティ庁（CSA）が、7万台を超えるFortiGateの認証情報が漏れたとして注意喚起。2026年6月23日
JPCERT/CCが注意喚起（JPCERT-AT-2026-0019）。国内企業に関連する情報が含まれていることを確認したとした。2026年10月6日
米FBIと米シークレットサービスが共同注意喚起（JCSA-20261006-01）。攻撃は続いており、管理者が締め出される例や、ランサムウェアの侵入口になった例があるとした。
- 種類
- 認証情報の漏えいと、それを使った不正ログイン。新しいCVEは出ていない（Fortinetは新しい脆弱性ではないとしている）
- 対象
- インターネットに出ているFortiGateのファイアウォールとSSL VPN
- 規模
- CISAは約7万4千台。FBIとJPCERT/CCは、民間のセキュリティ企業による8万6,644台以上（194か国）という集計を引用
- Fortinetの見解
- 新しい脆弱性ではない。過去の事案（同社の勧告FG-IR-26-060・FG-IR-25-647）で得られた認証情報の再利用と、総当たりによるもの
- FBIの説明
- 漏れた認証情報や情報窃取型マルウェアの記録を使ったログイン、機器から抜いたパスワードのハッシュの解読、管理者アカウントの追加による居座り
- 国内
- JPCERT/CCが、国内企業に関連する情報が含まれていることを確認
Fortinetが「過去の事案」として挙げた2つの勧告は、FortiCloudのシングルサインオンでの認証回避の脆弱性です（FG-IR-25-647はCVE-2025-59718とCVE-2025-59719、FG-IR-26-060はCVE-2026-24858）。どちらも悪用が確認されています。Fortinetは、これらの勧告にある対処が終わっているかを確かめるよう求めています。FortiOSでの修正版は、FG-IR-26-060で7.6.6、7.4.11、7.2.13、7.0.19です。
修正版に上げても終わらない理由
当サイトがこの件で一番伝えたいのは、ここです。脆弱性の対応は「修正版に上げる」で終わることが多いですが、この件では漏れたのがパスワードそのものです。過去の脆弱性を突かれた時期に設定ファイルや認証情報が持ち出されていれば、あとから修正版に上げても、その時のパスワードは使えます。
JPCERT/CCは、FortiGateの設定ファイルには管理者パスワードのハッシュ（元に戻せない形に変えた値）が入っているため、設定ファイルが持ち出されていれば、機器に直接入れなくても、手元でパスワードが解読されるおそれがあると説明しています。FBIも、使い回された認証情報と古いSHA-256の保存形式のために、攻撃者が認証情報を大規模に集めて解読できているとしています。
これでは足りない
- 修正版に上げただけで、パスワードは前のまま
- パスワードは変えたが、古い形式の控えが残っている
- 多要素認証がなく、管理画面がインターネットから開ける
- FortiGateだけ直し、連携しているActive Directoryは見ていない
ここまでやる
- 管理者・VPN・連携用アカウントのパスワードをすべて変える
- 古い形式の控えを消し、PBKDF2だけにする
- 多要素認証をかけ、管理画面を閉じる
- アカウント・APIキー・ログを確かめる
1. 認証情報が漏れる
過去の事案・使い回し・総当たり
2. 管理画面・VPNにログイン
止める：多要素認証、管理画面を閉じる
3. 社内へ広がる
止める：アカウント・ログの確認、AD連携の見直し
古い形式のパスワードの控えを消す（PBKDF2だけにする）
Fortinetの技術情報によると、PBKDF2は7.2.11、7.4.8、7.6.1から使えます。それより前の版はSHA-256で保存します。更新後も、各管理者のパスワードは、その管理者が一度ログインするまでSHA-256のままです。
さらに、パスワードを変えても、前のSHA-256のハッシュが、互換性のために設定の中の見えない項目（old-password）に残ります。ログインするだけでは消えません。消すには、すべての管理者が新しい版でログインしたあと（ログインしない管理者はパスワードを変えたあと）、Fortinetの技術情報にある設定（7.6以降では login-lockout-upon-weaker-encryption、7.2系・7.4系では login-lockout-upon-downgrade）を有効にします。
有効にする前に確かめること
Fortinetの技術情報は、この設定を有効にしたあとでPBKDF2に対応していない版に戻すと、管理者が締め出されると書いています。管理者全員のログインかパスワード変更を済ませてから有効にし、戻す予定がないことを確かめてください。
パスワードの保存方式の違いはパスワードハッシュとはで説明しています。
締め出されたとき・侵害が疑われるとき
FBIは、攻撃者が新しい管理者アカウントを作り、元の管理者アカウントを消したり、パスワードを変えたりして、持ち主を締め出す例があるとしています。この場合は、パスワードの再設定だけでは戻せません。
FBIは、侵害が疑われたら、機器を切り離し、ログや設定などの記録を集めてから、対処を進めるよう求めています。Fortinetは、侵害された機器として扱い、同社の復旧手順に従うよう案内しています。シンガポールのCSAは、居座りが疑われる場合は工場出荷時の状態に戻すことも検討し、その前に記録を取っておくよう書いています。初期化すると記録が消えるためです。
ランサムウェアの被害に進んだ場合の考え方はランサムウェアとはを、VPN機器全般の守り方はVPN機器とリモートアクセスの守り方を参照してください。
まだ分かっていないこと
| 項目 | 状態 |
|---|---|
| 新しい脆弱性かどうか | 新しい脆弱性ではない（Fortinet） |
| 攻撃が続いているか | 続いている（FBI・米シークレットサービス、10月6日） |
| 認証情報を最初に入手した方法 | Fortinetは過去の事案の再利用と総当たりとみている。全体は確定していない |
| 漏れた情報が今も使えるか | JPCERT/CCは、一部の研究者が現在も有効な認証情報が含まれている可能性を指摘しているとし、過去の情報の再流通としてのみ扱うべきではないとしている |
| 国内で影響を受けた組織 | 含まれていることは確認（JPCERT/CC）。数と名前は公表なし |
| 被害の件数（ランサムウェアなど） | 公表なし |
対象になった組織の名前は、公的機関とFortinetのどちらも公表していません。当サイトは推測で特定の組織を挙げません。
出典
- Fortinet PSIRT「Analysis of Reported Credential Compromise of FortiGate Devices」（2026年6月19日） — fortinet.com
- Fortinet「Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later」 — community.fortinet.com
- Fortinet「FG-IR-26-060」（CVE-2026-24858） — fortiguard.com ／ 「FG-IR-25-647」（CVE-2025-59718、CVE-2025-59719） — fortiguard.com
- 米CISA「CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure」（2026年6月18日、6月22日改訂） — cisa.gov
- JPCERT/CC「Fortinet製品に関連する認証情報の漏えいに関する注意喚起」（JPCERT-AT-2026-0019、2026年6月23日） — jpcert.or.jp
- シンガポールCSA「Advisory on Credential Compromise of FortiGate Devices ("FortiBleed")」（AD-2026-007、2026年6月22日） — csa.gov.sg
- 米FBI・米シークレットサービス「FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts」（JCSA-20261006-01、2026年10月6日） — ic3.gov
更新履歴
2026-10-26：初版。Fortinet、米CISA、JPCERT/CC、シンガポールCSA、米FBIと米シークレットサービスの公表にもとづく。
次に読む
- 外部に出ている機器の守り方：VPN機器とリモートアクセスの守り方
- 同じ時期に悪用された境界機器の脆弱性：悪用が確認された境界機器の脆弱性まとめ（2026年10月中旬）
- 傾向：2026年の情報漏えいは「脆弱性」より「正規の認証情報」で起きている
- 多要素認証：多要素認証の選び方
- 用語：パスワードハッシュとは ／ ランサムウェアとは