FortiOS SSL-VPNのシンボリックリンク永続化パッチをすり抜けるCVE-2025-68686

FortiOSのSSL-VPNに関するCVE-2025-68686が、2026年7月27日にCISAのKnown Exploited Vulnerabilities(KEV)カタログへ追加されました。深刻度はMediumで、単体では他人のFortiGateに侵入できる種類の欠陥ではありません。それでも運用者にとって重い話題になるのは、この脆弱性が「すでに侵害された機器に残された足がかりを、Fortinetが用意した修正のあとも使い続けられる」という性質を持つためです。2025年4月に公表されたシンボリックリンクによる永続化の続きにあたります。

本記事は、FortiGateを運用するネットワーク管理者に向けて、Fortinet PSIRTのアドバイザリFG-IR-25-934、CVEレコード、NVD、CISAのKEVカタログとアラート、Fortinetの2025年4月のPSIRTブログ、Fortinet製品に関連する認証情報の漏えいを扱ったJPCERT/CCの注意喚起、そして境界機器全般を扱ったIPAの注意喚起にもとづき、事実関係と実務上の対応を整理します。攻撃の再現手順や悪用コードは扱いません。記述は執筆時点(2026年8月3日)で一次情報から確認できた範囲に限ります。

CISAのKEVカタログに追加された事実#

CISAは2026年7月27日、KEVカタログに2件の脆弱性を追加しました。そのうちの1件がCVE-2025-68686です。KEVカタログへの追加は、悪用の証拠が確認されたものに限られるという運用条件のもとで行われます。執筆時点で参照できたカタログ(版2026.07.29、収録1656件)には、次の内容で収録されていました。

要求されている措置は、ベンダーの指示に従って緩和策を適用したうえで、CISAのBOD 26-04とForensics Triage Requirementsに沿うこと、と記載されています。同じ欄には、クラウドサービスについてはBOD 26-04の該当するガイダンスに従うこと、緩和策が入手できない場合は当該製品の使用をやめること、も書かれています。あわせて、資産ごとのインターネット露出を評価し、BOD 26-04のパッチ適用ガイドラインを順守することが関係者の責任である、とも書かれています。つまり表の2026年8月10日はKEVカタログに記録された対応期限であり、個々の資産に何をいつまでに行うかは、露出状況を評価したうえでBOD 26-04のガイダンスに沿って決まります。BOD 26-04は2026年6月10日発行の拘束的運用指令で、従来のBOD 22-01とBOD 19-02を廃止して置き換えたものです。公開露出の有無、KEV収録の有無、悪用の自動化可能性、技術的影響という4つの変数で修正期限を決める方式へ変わり、条件によっては修正と併せてフォレンジックトリアージ(侵害の有無を確かめる調査)まで求められます。

この指令が直接に拘束するのは米国連邦民間行政機関であり、日本の組織に法的な義務が生じるわけではありません。ただし優先順位の付け方としては参考になります。CISAのVulnrichmentが2026年7月27日付でCVE-2025-68686に付与したSSVCの評価は、Exploitation(悪用)がactive、Automatable(自動化可能性)がno、Technical Impact(技術的影響)がpartialでした。悪用は現に起きている一方、大量自動化が効く種類ではなく、得られる支配力も部分的である、という読み方になります。CVSSが中程度にとどまりながらKEVに載ったことと、この3つの評価はきれいに整合します。

KEVやEPSSを使った優先順位付けの考え方は次の記事で整理しています。

CVE-2025-68686の基本情報#

CVEを採番したCNAはFortinetです。CVEレコードの公開は2026年2月10日、最終更新は2026年7月28日で、KEV追加を受けたCISAのADP情報が加わっています。NVDでの状態はAnalyzedです。アドバイザリの識別子はFG-IR-25-934、表題はSSL-VPN Symlink Persistence Patch Bypassです。

CVEレコードの説明文は、FortiOS 7.6.0から7.6.1、7.4.0から7.4.6、7.2系の全版、7.0系の全版、6.4系の全版の情報漏えいの脆弱性が、認証を経ていないリモートの攻撃者に対し、一部の侵害後の事例で観測されたシンボリックリンク永続化の仕組みに対して開発されたパッチを、細工したHTTPリクエストによって回避させうる、と述べています。そして、攻撃者はまず別の脆弱性を使い、ファイルシステムレベルで製品を侵害しておく必要がある、と続きます。

深刻度の表記は情報源によって数値が異なるため、読み分けが要ります。

差はベクトルの後半にあります。Fortinetが掲示する5.3は、悪用コードの成熟度E:P(Proof-of-Concept)、修正状況RL:O(Official Fix)、報告の信頼度RC:C(Confirmed)という時間評価指標を掛けた値です。NVDのページに5.9として載っているのも提供元はFortinet PSIRTで、こちらは時間評価指標を外した基本評価指標だけの基本値です。NVDが自ら付けるPrimaryの評価は、執筆時点では掲載されていません(状態はAnalyzed)。数値が2つある理由は評価者の違いではなく、時間評価指標を含めるかどうかの違いです。基本評価の中身を見ると、AC:H(攻撃条件の複雑さが高い)が付いている一方で、機密性への影響がC:Hであり、完全性と可用性への影響はありません。読み取りに限られる欠陥という性格が数値にも表れています。

ベクトルの各項目の意味と、環境条件を織り込んだ読み方は次の記事で解説しています。

報告者はITRESITのPeter Gabaldon氏です。アドバイザリの更新履歴は、2026年2月10日の初版公開と、2026年3月12日のIPSパッケージ情報の追加の2件です。

前提になる2025年4月のシンボリックリンク永続化#

この脆弱性を理解するには、1年以上さかのぼる必要があります。Fortinetは2025年4月10日、PSIRTブログ「Analysis of Threat Actor Activity」で、既知の脆弱性を悪用した攻撃者が、侵害後の永続化に新しい手口を使っていたと公表しました。

手口はこうです。攻撃者はFortiGateを侵害したあと、SSL-VPNが言語ファイルを配信するために使うフォルダに、ユーザーファイルシステムとルートファイルシステムを結ぶシンボリックリンクを作成しました。この変更はユーザーファイルシステム側で行われたため検知を免れ、元の脆弱性を塞ぐFortiOSへ更新しても残り続けました。結果として攻撃者は、設定を含むファイルシステム上のファイルへの読み取り専用アクセスを保持できました。

シンボリックリンクは、ファイルやディレクトリを別の場所から指し示す仕組みです。SSL-VPNのWeb画面は、指定されたパスの言語ファイルを読み出して返します。そのパスの先が本来のディレクトリではなくルートファイルシステムを指していれば、Web画面はそのまま別の場所のファイルを配信します。検知を免れた理由としてFortinetが挙げているのは、置き場所がユーザーファイルシステム内だったという点です。新しいプロセスを常駐させる手口ではなく、実行権限を伴わない読み取り専用の足がかりであるため、プロセスの常駐を見る監視では気づきにくいと考えられます。

初期侵入に使われた既知脆弱性としてFortinetが例に挙げているのは、次の3件です。いずれもSSL-VPNのメモリ破壊に起因する認証前のコード実行で、KEVカタログにも収録されています。

Fortinetが当時とった措置は3つです。1つ目は、このシンボリックリンクを検知して除去するAV/IPSシグネチャの作成です。FortiOS 7.4系、7.2系、7.0系、6.4系では、AV/IPSエンジンがライセンス済みかつ有効であれば、悪性と判定して自動的に取り除きます。2つ目は、FortiOS 7.6.2、7.4.7、7.2.11、7.0.17、6.4.16へ更新した場合に、悪性のシンボリックリンクを削除する変更です。3つ目は、同じ版でSSL-VPNのUIを改修し、そうしたシンボリックリンクを配信しないようにする変更です。

Fortinetは、テレメトリで影響を特定した顧客へ個別に連絡したうえで、対象版への更新、全機器の設定の見直し、そして設定はすべて漏えいした可能性があるものとして扱うことを推奨しました。SSL-VPNを一度も有効にしたことがない顧客は影響を受けないとも明記しています。

Fortinet PSIRTブログ(2025年4月10日)は、攻撃者がSSL-VPNの言語ファイル配信用フォルダにユーザーファイルシステムとルートファイルシステムを結ぶシンボリックリンクを作成したこと、この変更がユーザーファイルシステム側で行われて検知を免れたこと、元の脆弱性を修正したFortiOSへ更新してもリンクが残り設定を含むファイルへの読み取り専用アクセスが維持されうることを記載しています。

パッチバイパスが成立する条件#

CVE-2025-68686が対象にしているのは、この永続化を止めるために入れられた修正そのものです。細工したHTTPリクエストによって、修正で塞いだはずの経路を回避し、シンボリックリンク越しの読み取りを再び成立させられる、というのがアドバイザリの説明です。

前提条件は2つあります。1つは、攻撃者が先に別の脆弱性でファイルシステムレベルまで機器を侵害していることです。上に挙げた3件のような認証前のコード実行を経て、シンボリックリンクを設置し終えている状態が出発点になります。もう1つは、その製品でSSL-VPNが使われていることです。アドバイザリの原文は「Products that never had SSL-VPN enabled, are not impacted by this issue.」と書いており、一度もSSL-VPNを有効にしたことがない製品は影響を受けない、という限定になっています。現在SSL-VPNが有効かどうかと、過去に有効化した履歴があるかどうかは、別々の確認項目として扱います。

この条件の置き方から、実務上の意味が2つ導けます。1つは、SSL-VPNを使っておらず、過去に有効化した期間もない機器については、この件で慌てて動く必要がないことです。もう1つは、逆に該当する機器では、CVE-2025-68686への対処が「新たな侵入口を塞ぐ作業」ではなく「すでに起きた侵害の後始末が終わっていないことの確認作業」になることです。パッチを当てるだけで完了する種類の話ではありません。

CVSSの数値だけを見て後回しにすると、この構造を見落とします。5.3や5.9という値には、攻撃の成立に攻撃者が自力で用意できない前提、すなわち別の脆弱性による先行侵害でファイルシステムレベルのアクセスがすでに得られていることが必要だ、という条件が、攻撃条件の複雑さAC:Hに反映されていると読めます。裏返せば、その前提が満たされてしまった機器で情報が流出し続ける深刻さは、この数値には表れません。KEVカタログは、この種の「点数は低いが現に悪用されている」脆弱性を拾い上げるための仕組みです。

影響を受ける版と修正版#

アドバイザリが示す影響範囲と対処は次のとおりです。

CVEレコードのバージョン情報を見ると、影響範囲は7.2.0から7.2.13、7.0.0から7.0.19、6.4.0から6.4.16と列挙されています。ここに読み落としやすい点があります。7.2.11、7.0.17、6.4.16は、2025年4月にFortinetがシンボリックリンクの削除とSSL-VPN UIの改修を入れた版です。それらを含む全版が今回の影響範囲に入っており、これらの系列に修正版は示されていません。当時の案内どおりに7.2.11や7.0.17や6.4.16へ更新した機器は、この回避には対処できていないことになります。

同じ2025年4月の案内でも、7.6.2と7.4.7へ更新した機器は、そのままCVE-2025-68686の修正版に該当します。当時どの系列を選んだかで、いま必要な作業量が変わります。7.2系以下を使い続けている場合は、7.4.7以降か7.6.2以降への移行が対処になり、系列をまたぐアップグレードの計画と検証が必要です。稼働中の設定や機種ごとのサポート状況を確認したうえで、段取りを組みます。

仮想パッチとAV/IPSシグネチャによる緩和#

系列をまたぐ更新にはリードタイムがかかります。アドバイザリは、その間の緩和としてFortiGateの仮想パッチ機能を案内しています。FG-VD-60389.0dayという名前の仮想パッチが、FMWPデータベースの更新26.033で提供されています。

仮想パッチは、FortiGateのIPSエンジンでFMWP(Firmware Virtual Patch)データベースをローカルインポリシーに適用し、機器自身へ向かうトラフィックを検査して既知の脆弱性への攻撃を止める機能です。以下はFortiOS 7.6.1の管理ガイドの記述にもとづきます(要件は版によって異なる可能性があります)。同ガイドは、FMWPデータベースを導入するにはFortiGateに有効なFMWR(Firmware)ライセンスが必要であり、導入済みの版はdiagnose autoupdate versionsコマンドで確認できると記載しています。注意事項として、クライアント証明書を使うクライアントからFortiGate上で終端するSSL VPNおよびZTNAの接続では、virtual-patchを有効にすると接続が失敗するため、これらの構成では有効にしないよう案内されています。恒久的な修正の置き換えではなく、更新までの時間を稼ぐ手段として位置づけられています。

2025年4月に用意されたAV/IPSシグネチャによるシンボリックリンクの自動除去も、あわせて確認しておく価値があります。ただし、Fortinetがこの自動除去の対象として列挙しているのはFortiOS 7.4系と7.2系と7.0系と6.4系であり、7.6系は挙げられていません。本件の影響版には7.6.0と7.6.1が含まれるため、7.6系の機器はこの自動除去を当てにできない前提で扱います。対象の系列であっても、Fortinetは、AV/IPSエンジンがライセンス済みかつ有効であれば自動的に除去されると書いています。裏を返すと、ライセンスが切れている機器や、AV/IPSを無効にしている機器では、この自動除去は働きません。ライセンス状態と機能の有効化状態は、更新履歴とは別に確認する項目です。

自組織が影響を受けているかを調べる手順#

公式が案内している範囲で、確認の順序を整理します。攻撃の再現は行わず、自組織が管理する機器に対する構成確認とログ確認に限ります。

該当が濃厚な機器については、Fortinetがコミュニティで公開している侵害時の推奨手順に沿って進めます。この文書は、ログと設定バックアップと診断出力の保全から始め、ファームウェアの検証済み再導入、既知の正常な設定からの復元、管理者と利用者とVPN利用者の資格情報の再設定、RADIUSの共有シークレットとIPsecの事前共有鍵の再設定、証明書の入れ替えと失効までを扱っています。JPCERT/CCも、FortiGate関連の認証情報漏えいに関する注意喚起の中で同じ文書を参照先として挙げています。

侵害の疑いがある機器を触る前に、証跡の保全を先に済ませる理由は次の記事で整理しています。

更新だけでは残る侵害の痕跡と認証情報#

7.6.2以降または7.4.7以降へ更新すれば、シンボリックリンクは削除され、SSL-VPN UIからの配信も止まります。しかし、それまでに読み出された設定ファイルは戻ってきません。ここが対応の分かれ目になります。

FortiGateの設定ファイルには、機器そのものの情報だけでなく、周辺システムへ接続するための情報が含まれます。管理者アカウント、ローカル利用者とVPN利用者、RADIUSの共有シークレット、IPsecの事前共有鍵、LDAP連携用のアカウント、証明書といったものです。設定が持ち出されていた場合、これらは機器を更新しても有効なまま残ります。

JPCERT/CCは2026年6月23日の注意喚起JPCERT-AT-2026-0019で、FortiGateなどに関連する認証情報の漏えい事案について、FortiGateの設定ファイルには管理者パスワードのハッシュが含まれるため、設定ファイルが取得された場合は機器への直接アクセスがなくてもオフライン解析でパスワードが解読されるおそれがある、と指摘しています。同じ注意喚起は、攻撃者が侵害したFortiGate機器を経由して内部ネットワークの認証トラフィックを傍受するツールを保有しており、Windowsドメイン認証の資格情報まで窃取して解読された事例が確認されているとも述べています。この場合、FortiGate側の対処だけでは防ぎきれない経路が残るため、機器の認証情報変更と多要素認証の有効化に加えて、Active Directory環境の不審な動きの確認もあわせて行うよう求めています。

JPCERT/CCの注意喚起JPCERT-AT-2026-0019は、FortiGateの設定ファイルに管理者パスワードのハッシュが含まれるためオフライン解析による解読のおそれがあること、侵害された機器を経由して内部の認証トラフィックが傍受された事例があること、FortiGate側の対処だけでは残る経路があるためAD環境の調査もあわせて実施すべきことを記載しています。

つまりCVE-2025-68686への対応は、次の3層で考える必要があります。第1層は修正版への更新で、読み取り経路を閉じます。第2層は認証情報の全面的な入れ替えで、持ち出された値を無効にします。第3層は横展開の点検で、機器から先へ進まれていないかをドメインコントローラーや内部の認証ログから確かめます。第1層だけで終わらせると、持ち出された設定ファイルからパスワードのハッシュがオフライン解析で解読された場合や、漏えいした認証情報が有効なまま残っていた場合に、正規の資格情報を使ってVPNへ侵入される経路が残ります。この経路は脆弱性の修正では塞げません。

侵害を疑ったときに最初の数時間で何をどの順で行うかは、次の記事にまとめています。

境界機器を守る運用の組み立て#

この事案には、境界に置く機器で繰り返し現れる型がいくつも含まれています。認証前に到達できる公開サービスが侵入口になること、侵害後の永続化が製品の想定外の場所に置かれること、そして修正の適用が侵害の解消と同義ではないことです。

境界機器全般の対策としては、IPAが2025年10月31日に公開した注意喚起「VPN機器等に対するORB(Operational Relay Box)化を伴うネットワーク貫通型攻撃のおそれについて」が参考になります。これはネットワーク貫通型攻撃とORB化という事象全般を扱った文書で、CVE-2025-68686を取り上げたものではありません。悪用されるおそれのある脆弱性の例として挙がっているFortinet製品はFortiOSおよびFortiProxyのCVE-2024-55591で、本件とは別の脆弱性です。示されている対策は、修正プログラムの迅速な適用とサポート終了機器の更新や廃棄、管理インターフェースを外部公開せず不要なサービスとポートを停止すること、ASM(Attack Surface Management)による公開状況の把握と不審な中継通信の継続的な監視、ファイアウォールとIDS/IPSを組み合わせたネットワークセグメントの分離、BCPやBCMを通じた危機管理体制の整備と訓練です。単一の機器に依存しない構えを作る、という方向は今回の件にもそのまま当てはまります。

境界機器が狙われる構造そのものは次の記事で扱っています。

恒久的な運用として押さえておく項目を整理します。

機器上のログだけに頼らない体制が、この種の事案では効いてきます。ログの集約と保全の実務は次の記事で扱っています。

Fortinet PSIRTのアドバイザリFG-IR-25-934は、CVE-2025-68686について、認証を経ないリモートの攻撃者がシンボリックリンク永続化の仕組みに対するパッチを細工したHTTPリクエストで回避しうること、その前提として別の脆弱性でファイルシステムレベルの侵害が先に必要であること、一度もSSL-VPNを有効にしたことがない製品は影響を受けないこと、対処は7.6.2以降または7.4.7以降へのアップグレードであること、FMWP db 26.033で仮想パッチFG-VD-60389.0dayが提供されることを記載しています。

まとめ#

CVE-2025-68686は、2025年4月に公表されたSSL-VPNのシンボリックリンク永続化に対する修正を、細工したHTTPリクエストで回避できる欠陥です。成立には別の脆弱性による先行侵害が必要なため、CVSSはFortinetの掲示する5.3(時間評価指標を含む)、基本値で5.9という中程度にとどまります。それでもCISAが2026年7月27日にKEVカタログへ追加したのは、悪用が現に確認されているためです。

対処の中心は、7.6.2以降または7.4.7以降への更新です。7.2系と7.0系と6.4系には修正版がなく、2025年4月の案内でこれらの系列を選んだ機器は系列をまたぐ移行が必要になります。更新までの時間はFMWP db 26.033の仮想パッチで稼げますが、恒久的な修正の代わりにはなりません。

そして、更新だけでは終わりません。読み取られた設定ファイルには周辺システムへの資格情報が含まれるため、機器の認証情報から連携先のシークレットまで入れ替え、内部の認証ログまで点検して初めて一連の作業が完了します。境界の機器は、直せば元に戻るという前提が成り立ちにくい場所です。侵害されていた可能性を残したまま運用を続けないことが、この事案から引き出せる要点になります。