CVE-2025-24472（Fortinet FortiOS and FortiProxy）とは
CVE-2025-24472 は、Fortinet FortiOS and FortiProxy に見つかった脆弱性です。種類は「別の経路による認証の回避」（CWE-288）に当たります。
CVE-2025-24472 とは
「別の経路による認証の回避」は、本来の入り口とは別の経路から、認証を通らずに機能を使えてしまう種類の弱点です。
NVD の CVSS の評価は、まだ公表されていません。
米国の CISA は、この脆弱性が実際の攻撃に悪用されたことを確認し、2025年3月18日にKEV カタログ（悪用が確認された脆弱性の一覧）に載せました。CISA は、ランサムウェアの攻撃での悪用も確認しています（Known）。
- 製品
- Fortinet FortiOS and FortiProxy
- 開発元
- Fortinet
- 種類（CWE）
- 別の経路による認証の回避（CWE-288）
- KEV の掲載日
- 2025年3月18日
- ランサムウェアでの悪用
- 確認されている（Known）
- CVE の公開日・更新日
- —
- KEV の脆弱性名（原文）
- Fortinet FortiOS and FortiProxy Authentication Bypass Vulnerability
NVD の概要（英語の原文）
Fortinet FortiOS and FortiProxy contain an authentication bypass vulnerability that allows a remote attacker to gain super-admin privileges via crafted CSF proxy requests.
出典：NVD（CVE の記述。This product uses data from the NVD API but is not endorsed or certified by the NVD.）
影響と対応
- 対応期限
- 2025年4月8日
CISA が米国の連邦政府機関に求めている期限です。日本の企業に向けた期限ではありませんが、対応の順番を決める目安になります。 - 修正版・回避策
- 修正版のバージョンや回避策は、開発元の公表で確かめてください。この表では、修正版の有無や番号を判断していません。
原典
確かめることの観点
Fortinet FortiOS and FortiProxy について、社内と委託先で次の 4 点を確かめると、対応の要否と順番を決めやすくなります。
- 自社で使っているか社内の機器・サーバー・クラウドの一覧で、Fortinet FortiOS and FortiProxy を使っているか、使っている場合はバージョンを確かめます。
- 委託先が使っているかシステムの保守・運用・開発を任せている委託先や、データを預けているサービスで、Fortinet FortiOS and FortiProxy を使っているかを尋ねます。
- 修正の状況開発元が公表している修正版の適用や回避策の実施が済んだか、済んだ日はいつかを確かめます。CISA の対応期限（2025年4月8日）も順番の目安になります。
- 痕跡の確認開発元や公的機関が痕跡（不正な操作の跡）の確かめ方を公表していれば、それに沿って確認したか、結果はどうだったかを確かめます。
委託先への照会の文面（下書き）
御社のメールに写して、宛先・期日を直してお使いください。当社は照会を送らず、送った内容や回答も預かりません。
件名：Fortinet FortiOS and FortiProxy の脆弱性（CVE-2025-24472）への対応状況のご確認
〇〇株式会社 ご担当者様 いつもお世話になっております。 Fortinet FortiOS and FortiProxy の脆弱性（CVE-2025-24472）について、米国 CISA が悪用を確認したと公表しています。 弊社の業務に関わる範囲で、次の点を教えていただけますでしょうか。 1. 弊社の業務で Fortinet FortiOS and FortiProxy をお使いかどうか（お使いの場合は、バージョン） 2. 開発元が公表している修正版の適用、または回避策の実施の状況と、その日付 3. 開発元や公的機関が公表している痕跡の確認を行ったかどうかと、その結果 4. 弊社のデータへの影響の有無（確認中の場合は、その旨と次のご連絡の目安） 恐れ入りますが、〇月〇日までにご回答いただけますと幸いです。 どうぞよろしくお願いいたします。
関係するレポート
この CVE のレポートはまだありません。ほかの事件のレポートは事件の一覧から、届く文書の中身は見本のレポートで見られます。