Fortinet、Palo Alto Networks、Ciscoの主要製品で、2026年に入り重大脆弱性の公表と実際の悪用が相次いでいます。中には認証回避によるVPNへの不正侵入や、認証不要でリモートから任意のコマンドを実行できる深刻な脆弱性も確認されており、企業ネットワークへの影響が懸念されています。
さらに近年は、脆弱性の公開から攻撃開始までの期間が急速に短縮しています。実際にPalo Alto NetworksのGlobalProtect VPNでは、公表からわずか4日で悪用が確認されました。本記事では、2026年7月時点のFortinet、Palo Alto Networks、Ciscoの主要な脆弱性情報を整理し、企業が優先して実施すべき緊急対策とパッチ適用のポイントを解説します。
あわせて読みたい：
FortiBleedとは何か｜世界194か国・7万4000台のFortiGateで認証情報流出
Fortinet：FortiSandboxで複数の重大な脆弱性が実際に悪用される
Fortinetのマルウェア解析製品「FortiSandbox」では、2026年に入り複数の重大な脆弱性が明らかになりました。
主な脆弱性
- CVE-2026-25089（CVSSスコア9.8）：WEB UIの入力値検証不備によるOSコマンドインジェクション。認証不要でHTTPリクエスト経由での攻撃が可能。2026年6月9日にパッチが公開されました。
- CVE-2026-26083（CVSSスコア9.8）：権限管理の不備による脆弱性。こちらも認証なしでの任意コマンド実行につながります。
- 上記に加え、パストラバーサル脆弱性も同時期に確認されています。
脆弱性追跡企業のDefusedによると、これら複数の脆弱性は2026年6月末から7月初旬にかけて実際の攻撃で悪用されていることが確認されました。FortiSandboxは企業や官公庁で広く導入されているマルウェア解析基盤であるため、侵害された場合は解析済みサンプルの窃取やマルウェア検知機能の無効化、ランサムウェア展開の踏み台化など、二次被害のリスクが大きい点に注意が必要です。
なお同時期には、侵害されたFortiGateファイアウォールから7万件超の認証情報が流出し、複数の組織がランサムウェア被害を受ける「FortiBleed」と呼ばれる別系統のキャンペーンも報告されています。Fortinet製品を利用する企業は、FortiSandbox単体だけでなくFortiGate等を含めた認証情報管理の総点検が推奨されます。
Palo Alto Networks：GlobalProtect VPNで認証回避の脆弱性が公表4日で悪用開始
Palo Alto Networksでは、PAN-OSのGlobalProtect（ポータル／ゲートウェイ）に認証回避の脆弱性「CVE-2026-0257」が確認されました。
脆弱性の概要
- 認証オーバーライドCookie機能の暗号化に使う証明書が、ポータルやゲートウェイのHTTPSサービスと共用されている場合に発生
- 攻撃者はHTTPS接続時に取得できる公開鍵を悪用し、正規のCookieを偽造可能
- 偽造Cookieにより、認証なしでVPN接続を確立できてしまう
2026年5月13日の公表時点ではCVSSスコア7.8（Medium〜High相当）とされていましたが、公表からわずか4日後の5月17日には最初の悪用が確認され、5月21日には第2波の攻撃が観測されました。セキュリティ企業Rapid7の分析では、両波とも同一の攻撃者による可能性が高いとされています。米CISAは5月29日にKEV1（悪用が確認された脆弱性）カタログへ追加し、連邦政府機関に対して6月1日までの対応を命じました。
VPNは社外から社内ネットワークへの正規の入口であるため、認証回避の脆弱性は極めて優先度の高い対応が求められます。認証オーバーライドCookie機能を有効化している場合は、専用証明書への切り替えまたは機能無効化による緩和策の適用と、パッチ適用の両方が重要です。
Cisco：Unified CMのSSRF脆弱性がPoC公開後に悪用へ
Ciscoの企業向けIP電話基盤「Unified Communications Manager（Unified CM）」およびSession Management Editionでも、深刻な脆弱性「CVE-2026-20230」（CVSSスコア8.6）が確認されています。
脆弱性の概要
- WebDialer2サービスの入力値検証不備によるSSRF3（サーバーサイドリクエストフォージェリ）
- 認証不要のリクエストでOS上にファイルを書き込み可能となり、最終的にroot権限への昇格につながる
- 悪用にはWebDialerサービスの有効化が前提条件（初期設定では無効）
Ciscoは2026年6月3日にパッチを公開した時点では悪用の報告はないとしていましたが、その後PoC4（概念実証コード）が公開されたことを受け、脅威インテリジェンス企業Defusedが6月21〜22日の週末にかけて実際の悪用を観測。Ciscoも7月1日付でアドバイザリを更新し、6月中の悪用を正式に確認しています。米CISAも6月25日付でKEVカタログに追加し、6月28日までの対応を連邦機関に求めました。
WebDialerを利用していない企業への直接的な影響は限定的ですが、機能を有効化している場合は最優先でのパッチ適用または当該サービスの無効化が必要です。
共通する傾向：「公開後、数日〜数週間で攻撃が始まる」時代に
2026年に入ってからの一連の脆弱性に共通するのは、公表から実際の攻撃開始までの期間の短さです。
- Palo Alto CVE-2026-0257：公表からわずか4日で悪用開始
- Cisco CVE-2026-20230：パッチ公開から約3週間でPoCを起点とした悪用が発生
- Fortinet FortiSandbox関連の複数CVE：パッチ公開から1か月以内に悪用が確認
背景には、AIを活用した脆弱性解析や自動スキャン、攻撃ツールの高度化があります。研究者やセキュリティベンダーの間では、公開されたパッチや技術情報（PoCを含む）を攻撃者側が短時間で「武器化」する傾向が強まっていると指摘されています。結果として、パッチ適用までの猶予期間は年々短くなっており、月次や週次でのパッチ運用サイクルでは対応が追いつかないケースも増えています。
企業が今すぐ実施すべき5つの対策
- 最新パッチを速やかに適用する：特にVPN・境界防御製品・管理画面など、外部からアクセス可能な機器を優先する
- VPN・管理画面をインターネットへ直接公開しない：可能な限りアクセス元IPを制限し、多層的なアクセス制御を行う
- 多要素認証（MFA）を有効化する：認証回避の脆弱性が悪用された場合の被害範囲を最小化する
- 不要な機能・サービスを無効化する：WebDialerのように業務上不要なサービスは無効化し、攻撃対象領域を減らす
- CISAのKEV（Known Exploited Vulnerabilities）カタログを定期的に確認する：自社が利用する製品が対象になった場合、即座に対応できる体制を整える
まとめ
Fortinet、Palo Alto Networks、Ciscoはいずれも企業ネットワークを支える重要な製品ですが、その重要性ゆえに攻撃者にとって格好の標的にもなっています。2026年に確認された一連の脆弱性は、公表からごく短期間で悪用が始まる傾向を裏付けるものであり、パッチ適用の遅れがそのまま重大なインシデントへ直結しかねません。IT管理者は各ベンダーのセキュリティアドバイザリおよびCISA KEVカタログを継続的に確認し、迅速なパッチ適用と多層防御の徹底を心がける必要があります。
このテーマは今後も動きが続くと見られるため、次回は「2026年8月版」として続報をお届けする予定です。
参考記事
- Fortinet FortiSandbox: CVE-2026-25089 and CVE-2026-26083 — Critical CVSS 9.8 Vulnerabilities Under Active Exploitation
- Vulnerability Intelligence Report — July 5, 2026
- Critical vulnerabilities in Fortinet FortiSandbox are under exploitation
- Rapid7 Observed Exploitation of PAN-OS GlobalProtect Authentication Bypass Vulnerability (CVE-2026-0257)
- Hackers are exploiting Palo Alto GlobalProtect VPN authentication bypass (CVE-2026-0257)
- Palo Alto GlobalProtect VPN auth bypass flaw now exploited in attacks
- Cisco Unified Communications Manager Server-Side Request Forgery Vulnerability（Cisco公式アドバイザリ）
- Cisco Unified CM Flaw Exploited After PoC Reveals File-Write Path to Root
- Cisco finally confirms attackers exploiting Unified CM flaw
- CISA Adds Two Known Exploited Vulnerabilities to Catalog
関連記事
注釈
- KEV（Known Exploited Vulnerabilities）：実際に悪用が確認された脆弱性のこと。本記事では、CISAが管理・公開する「CISA KEVカタログ」を意味しています。
CISA KEV（Known Exploited Vulnerabilities）：米国サイバーセキュリティ・社会基盤安全保障庁（CISA）が公開する「実際に悪用が確認された脆弱性」の一覧。登録された脆弱性は攻撃リスクが高く、企業には迅速な対策が推奨されます。 ↩︎ - WebDialer：Cisco Unified Communications Manager（Unified CM）に搭載されているWebベースの発信支援機能。ブラウザから電話発信を行うための機能ですが、脆弱性が存在すると不正アクセスや任意コード実行の標的となる可能性があります。 ↩︎
- SSRF（Server-Side Request Forgery）：サーバーを経由して内部ネットワークや外部システムへ不正なリクエストを送信させる攻撃手法。認証情報の窃取や内部システムへのアクセスにつながる恐れがあります。 ↩︎
- PoC（Proof of Concept）：脆弱性が実際に悪用可能であることを示す検証用プログラムや実証コード。PoCが公開されると、攻撃者に悪用されるリスクが高まる場合があります。 ↩︎
コメント