🚨 CVE-2026-21643 "FortiGhost" : FortiClientEMSにおける事前認証SQLi RCE

bfx25_Blog-Forticlient-CVE-2026-21643-F

FortiClientEMS 7.4.4における未認証SQLインジェクション
管理GUIへの細工されたHTTPリクエストによる潜在的なリモートコード実行

📋 概要

CVE-2026-21643 は、Fortinet FortiClient Endpoint Management Server (FortiClientEMS) のバージョン 7.4.4 にのみ影響する深刻なSQLインジェクション脆弱性 (CWE-89) です。

未認証のリモート攻撃者は、Webベースの管理インターフェース (GUI) に特別に細工されたHTTPリクエストを送信し、不正なSQLコマンドを実行できます。これにより、サーバー上での任意のコード実行を含む、システム全体の侵害につながる可能性があります。

主なリスク: この脆弱性は認証前に存在するため、インターネットに公開されている、または到達可能なFortiClientEMSインスタンスはすべて価値の高い標的となります。

CVE ID: CVE-2026-21643
Fortinet IR: FG-IR-25-1142
重大度: 緊急
CVSS v3.1スコア: 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
脆弱性タイプ: SQLコマンドで使用される特殊要素の不適切な無害化 (SQLインジェクション)
影響を受けるコンポーネント: Web管理インターフェース (GUI)
攻撃経路: リモート、特別に細工されたHTTPリクエストによる (マルチテナント環境ではSiteヘッダーや/api/v1/init_constsなどのエンドポイントが関与すると報告されています)
必要な認証: なし
ユーザー操作: 不要
既知の公開エクスプロイト: なし (2026年3月時点)
発見者: Fortinet社内 (Gwendal Guégniaud、プロダクトセキュリティチーム)

緊急の対応を推奨します:

直ちに FortiClientEMS 7.4.5 以降のリリース (8.0系を含む) へアップグレードしてください。
管理GUIへのアクセスを制限します:
- VPN、ファイアウォール、ゼロトラストソリューションの背後に配置します。
- EMS Webインターフェースをインターネットに直接公開しないようにします。
管理エンドポイントへの不審なリクエスト (SiteヘッダーやエラーベースのSQLiパターンを含む) をログで監視します。
追加の保護として、利用可能な場合はFortiGuard IPSシグネチャを適用します。

Fortinet公式アドバイザリ:
https://fortiguard.fortinet.com/psirt/FG-IR-25-1142

注記: この欠陥は、7.4.4のマルチテナンシーサポートに関連するミドルウェアのリファクタリング中に導入され、7.4.5で密かに修正されました。

このリポジトリは、防御的なセキュリティ、啓発、および情報提供のみを目的として維持されています。最も正確で最新のガイダンスについては、常にFortinet公式アドバイザリを参照してください。

ここには公開されたエクスプロイトは含まれていません。

⭐ セキュリティ向上に役立った場合は、このリポジトリにスターを付けてください!
🛠️ プルリクエストによる貢献、修正、追加のIOCを歓迎します。

最終更新日: 2026年3月