- FortiClientEMS 7.4.4 に存在する重大な脆弱性 CVE-2026-21643 は、SQL インジェクションおよび認証なしでのリモート コード実行を可能にするものです。
- この脆弱性は、ミドルウェアにおけるHTTP Siteヘッダーの安全でない処理に関連しており、公開エンドポイント/api/v1/init_constsを介して悪用可能です。
- この攻撃は、管理データベースの完全な侵害、認証情報の盗難、およびすべてのエンドポイントに配布されたポリシーの変更につながる可能性があります。
- 対策としては、FortiClientEMS 7.4.5以降へのアップグレード、マルチテナントモードがすぐにパッチ適用できない場合の無効化、および管理コンソールへのアクセス制限などが挙げられます。
エンドポイント管理プラットフォームのセキュリティは、多くの企業にとって重要な課題となっており、最近の明確な例として、FortinetとそのFortiClientエンドポイント管理サーバー（EMS）ソリューションが挙げられます。ここ数ヶ月、この製品の特定のバージョンに影響を与える重大なSQLインジェクションの脆弱性が発見され、サイバーセキュリティ業界で大きな話題となっています。
この記事では、Fortinetにおける重大なSQLインジェクション脆弱性の現状、CVE-2026-21643脆弱性の仕組み、組織への実際の影響、実際の悪用方法、そして何よりも、FortiClientEMSまたは類似製品に基づくインフラストラクチャを管理している場合に実施すべき緊急および中期的な対策について、冷静に解説します。
FortiClientEMSにおけるCVE-2026-21643の脆弱性の背景
脆弱性CVE-2026-21643は、様々な情報源によるとCVSSスコアが9.1～9.8と、深刻度レベルが「重大」に分類されており、事実上最高レベルに位置付けられています。この脆弱性は、企業がユーザーデバイス群にFortiClientエージェントを展開・管理するために使用するプラットフォームであるFortiClient Endpoint Management Server（EMS）に存在します。
具体的には、この問題は、マルチテナントモード（「サイト」機能）が有効になっている場合のFortiClientEMSバージョン7.4.4（7.4ブランチ）に影響します。バージョン8.0および7.2、ならびにFortiEMS Cloudインスタンスはこのバグの影響を受けないため、Fortinetは、オンプレミス環境でバージョン7.4.4を使用している環境に焦点を当てた対策を推奨しています。
このSQLインジェクションは、SQL文中の特殊要素の不適切な無効化によって発生するもので、CWE-89に分類されます。実際には、認証されていないリモート攻撃者が特別に細工されたHTTPリクエストを送信し、サーバーに任意のSQLコマンドを実行させることで、データベースユーザーの権限でリモートコード実行（RCE）を引き起こす可能性があります。
Fortinetのセキュリティアドバイザリによると、この脆弱性はFortiClientEMSのGUIコンポーネント、具体的には管理者がエンドポイントの管理と監視に使用するWebインターフェースに存在するとのことです。つまり、インターネットからアクセス可能なインターフェースを持つインスタンスはすべて、攻撃者にとって格好の標的となるということです。
Fortinetにおける重大なSQLインジェクションの発生源
問題の根本原因は、FortiClientEMS 7.4.4 におけるミドルウェアの大規模なリファクタリングにあります。このコード改訂の過程で、開発者はアプリケーションがPostgreSQLデータベースへの接続とテナントルーティングを処理する方法を変更しましたが、意図せず接続ファイルにバグを導入してしまいました。
この新しいロジックでは、サーバーは直接 HTTPヘッダー Site 相談へ search_path PostgreSQLによる目標は、このヘッダーに基づいて各テナントに対応するスキーマを選択することだったが、大きな問題は、ミドルウェアがその値の適切な検証やサニタイズを行わないことである。
その結果、攻撃者は意図された文字列形式を破り、悪意のあるペイロードをSQLステートメントに紛れ込ませ、サービスユーザーがFortinet仮想マシン内で設定した高い権限でデータベースが実行する任意のコマンドを挿入することが可能になります。
この脆弱性のあるミドルウェアは認証チェックの前に実行されるため、リスクはさらに高まります。つまり、ログインや認証情報は不要で、改ざんされたSiteヘッダーを含む不正なHTTPSリクエストを送信するだけで、脆弱性を悪用しようと試みることができます。
このパターンは、CVSS 3.1 のAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hシナリオに完全に当てはまります。このシナリオでは、攻撃はネットワーク経由で発生し、複雑性が低く、事前の権限やユーザーの操作を必要とせず、影響を受けるシステムの機密性、完全性、可用性を完全に損ないます。
攻撃ベクトル：エンドポイント /api/v1/init_consts およびサイトヘッダー
ビショップ・フォックスのチームのようなセキュリティ研究者たちは、最も現実的な攻撃経路はエンドポイントにあると説明している。 公開アクセス可能 /api/v1/init_constsインターフェースの初期化中に使用される FortiClientEMS API ルート。
攻撃者はまずこのエンドポイントを使用して マルチテナントモードが有効になっているか確認してください。サイト機能が有効になっていることが判明した場合、攻撃者はHTTPヘッダーを介してSQLペイロードを挿入する。 Site値がクリーンアップされずに文に渡されるという事実を利用して search_path.
このエンドポイントにはいくつかの設計上の欠陥があります。まず、レート制限メカニズムやブルートフォース攻撃に対する具体的な防御策が欠けています。次に、PostgreSQLによって生成されたエラーメッセージをレスポンスボディに直接返しています。これは攻撃者にとって非常に都合の良い状況です。
これらのエラーを明示的に受け取ることで、悪意のある攻撃者は、はるかに時間のかかる時間ベースのインジェクションに頼ることなく、単一のリクエストでエラーベースの抽出手法を実行できます。これにより、機密性の高いテーブル、列、およびデータの列挙を非常に高速に行うことができます。
攻撃が成功すると、攻撃者はエンドポイント管理データベースを完全に侵害するシナリオを実現します。データベースユーザーはPostgreSQLのスーパーユーザー権限で実行されるため、攻撃者は情報を漏洩させるだけでなく、基盤となるオペレーティングシステム上でリモートコード実行権限を昇格させることもできます。
組織および管理対象エンドポイントへの実際の影響
この脆弱性の影響は、単なるデータ漏洩にとどまりません。FortiClientEMSデータベース上で任意のSQLを実行できるため、攻撃者は管理者パスワード、デジタル証明書、およびプラットフォームに接続されているデバイスの完全なインベントリを盗み出すことが可能です。
このようなアクセス権限があれば、攻撃者はセキュリティポリシーを変更したり、管理対象のすべてのエンドポイントに悪意のある設定を配布したりすることが可能になります。これは、組織自身のセキュリティエージェントが内部ネットワークへの攻撃経路となるという、複雑なシナリオにつながる可能性があります。
さらに、管理データベースの侵害は、保存されているデータの機密性（ユーザー、機器、ポリシー、証明書に関する情報など）、完全性（ルール、テンプレート、割り当ての改ざん）、可用性（データの削除や管理サーバーの破壊の可能性）にも影響を及ぼします。
この脅威は、エッジデバイスや管理システムに対する攻撃がますます増加している傾向に合致する。これらのデバイスやシステムは、情報集約器として機能し、大量のエンドポイントを制御する役割を担うため、サイバー犯罪者にとって非常に価値が高い。
上記すべての理由から、Fortinetはこの脆弱性を重大度「クリティカル」に分類しており、セキュリティ機関および企業は、他に証拠がない限り、露出しているFortiClientEMS 7.4.4インスタンスを最大リスク資産として扱うことを推奨しています。
活発な開発と露出地域
当初の報告では、積極的な悪用は確認されていないとされていたが、脆弱性が公表されるわずか4日前に、Defused社の研究者らは、 CVE-2026-21643を悪用した実際の攻撃を確認した。
Shadowserverなどの組織が収集したデータによると、監視時点で約2.000台のFortiClientEMSインスタンスがインターネットに直接公開されていた。脆弱性のあるサーバー数は米国が約756台で最多、次いでヨーロッパが680台以上だった。Shodanはまた、1.000台以上のFortiClientEMSのWebインターフェースが一般に公開されていることも検出しており、その多くはパッチが適用されていない可能性が高い。
CVE-2026-21643に関するNISTの公式レジストリエントリは、この極めて深刻な脆弱性を裏付けており、C、I、Aに高い影響を与えるAV:N/AC:L/PR:N/UI:Nベクトルを示しています。これは、オープンなWebインターフェースを備えたFortiClientEMS 7.4.4サーバーは、攻撃者が認証情報を入手したり、ユーザーに何かをクリックさせたりすることなく、完全に侵害される可能性があることを意味します。
Defusedは3月28日にこれらの脆弱性を報告したが、それにもかかわらず、この脆弱性はCISAのKEV（既知の悪用された脆弱性）カタログや、実際に悪用されているその他の公開リストにはまだ掲載されておらず、これは通常、こうした初期の悪用段階では起こることであると指摘した。
一方、Fortinetは既に2月にバージョン7.4.5で修正パッチをリリースしており、これはサイバーセキュリティにおける繰り返されるパターンを明確に示している。つまり、修正パッチが利用可能になってから実際に運用環境に展開されるまでにはかなりの時間差があり、その間に攻撃者はアップデートされていないシステムを侵害する口実を得るのである。
妥協の兆候と攻撃の兆候
FortiClientEMSを管理する管理者にとって、潜在的な攻撃試行によって残された痕跡を理解することは非常に重要です。主な侵害指標（IoC）には、以下のようなものがあります。
まず、彼らは 応答時間が異常に長く、5秒から20秒以上かかるエンドポイントで /api/v1/auth/signin o /api/v1/init_constsこれは、Apacheやその前面にある別のWebサーバーのアクセスログに記録されているとおりです。
また、それは警告のサインでもある。 同じIPアドレスからHTTP 500エラーが繰り返し返される 終点に対して /api/v1/init_constsこのパターンは、攻撃者が試行錯誤を繰り返しながらSQLインジェクションのペイロードを微調整し、エラーを発生せず正常に動作するペイロードを見つけようとしていることを示している可能性がある。
さらに、PostgreSQLのエラーログを確認することも重要です。 協議 search_path シングルクォーテーション、セミコロン、またはSQLキーワードを含む として SELECT, INSERT o UPDATE 想定されるコンテキスト外。この種のトレースは通常、サイトヘッダーを操作しようとした試みを直接示しています。
対応策として、適切なアップデートが適用されていない状態でインターネットに接続されたFortiClientEMS 7.4.4サーバーは、侵害の可能性があるものとして扱う必要があります。これには、ネットワークからの隔離、詳細なフォレンジック分析（データベース、オペレーティングシステム、ログ）、および侵入の証拠が見つかった場合の制御された環境再構築計画の策定が含まれます。
Fortinetによる即時の緩和措置と公式ソリューション
主な対策は明確です。FortiClientEMS 7.4.4 をできるだけ早くバージョン 7.4.5 以降にアップデートしてください。Fortinet は、クエリ内の文字列補間をパラメータ化された識別子の適切な処理に置き換え、Site ヘッダーからの入力を安全にエスケープすることで、この脆弱性を修正しました。
バージョン8.0および7.2、ならびにFortiEMS Cloudは、この特定の脆弱性の影響を受けないため、追加の対応は不要です。とはいえ、管理コンソールの攻撃対象領域は常に最小限に抑えるべきであるため、インターネットへの露出状況とアクセス設定を見直すことをお勧めします。
運用上の都合によりパッチをすぐに適用できないチーム向けに、一部の研究者は一時的な対策として、マルチテナントの「サイト」機能を無効にすることを推奨しています。この対策により、サイトヘッダーに関連付けられた脆弱なコードパスの実行が阻止され、悪用可能なオプションが大幅に減少します。
同様に、 EMS管理インターフェースへのWebアクセスは、信頼できる内部ネットワークのみに制限することが不可欠です。理想的には、コンソールはVPNまたはゼロトラストアクセス機構の背後に配置し、非常に例外的な、かつ適切に保護された場合を除き、インターネットに直接公開してはなりません。
さらに、 FortiClientEMSの前にあるファイアウォールルールとWAFを見直して強化し、HTTPヘッダー、特にSiteヘッダーにおける典型的なSQLインジェクションパターンをブロックするフィルタを適用し、異常なAPIリクエストを綿密に監視することをお勧めします。
パッチ適用後の優れたセキュリティ対策
今回の事案は、単にパッチを適用したり特定の対策を講じたりするだけでなく、脆弱性管理はベンダーからの勧告に対する単発的な対応ではなく、継続的なプロセスでなければならないことを明確に示しています。エンドポイント管理プラットフォームやネットワークセキュリティソリューションに依存している組織は、複数の側面から戦略を強化する必要があります。
一方で、資産とバージョンの最新のインベントリを保持しておくことは不可欠です。そうすることで、重大なCVEが公開された際に、どのシステムが脆弱であるかを数分以内に特定し、露出度と重要度に応じてアップデートの優先順位を付けることが可能になります。
一方で、製品自体の堅牢性だけでなく、ネットワークのセグメンテーション、管理プレーンの分離、アクセス制限、集中ログ監視、異常動作の検出など、製品の展開方法も検証する定期的な侵入テストとアーキテクチャレビューを選択することをお勧めします。
開発の観点から見ると、この事例は、ミドルウェアや重要なコンポーネントの大幅なリファクタリングを行う際には、必ずセキュアな開発手法と回帰テストを適用することの重要性を改めて示している。パフォーマンスやスケーラビリティの向上は、入力サニタイズといった基本的なメカニズムを後退させることなく実現できるはずだ。
サイバーセキュリティとセキュア開発を専門とする企業は、コード監査、侵入テスト、コンサルティングサービスを提供しており、これらの脆弱性が本番環境に持ち込まれる前に検出することを目的としています。オンプレミス環境、クラウド、エッジデバイスが混在する環境では、外部の専門家に頼ることが大きな違いを生むことがよくあります。
最後に、ガバナンスおよびビジネスレベルでは、脆弱性の状態、管理インターフェースの露出状況、および重大な障害が組織のプロセスに及ぼす潜在的な影響を視覚化できるダッシュボードとビジネスインテリジェンスが非常に役立ちます。このアプローチにより、投資の優先順位付けが容易になり、一見コストがかかるように見えるものの、中期的に多くの問題を回避できる予防策を正当化することができます。
深刻な設計上の欠陥、広範囲にわたる攻撃対象領域、そしてパッチ適用までの遅延が重なったCVE-2026-21643は、管理コンソールのセキュリティを決して軽視してはならない理由を示す典型的な事例です。FortiClientEMSや同様のソリューションを使用している組織は、今回の事件を教訓として、セキュリティ体制を見直し、アップデートサイクルを加速させ、管理プラットフォームの防御を強化する必要があります。さもなければ、新たなゼロデイ脆弱性やSQLインジェクション攻撃によって再び不利な立場に置かれることになるでしょう。
