「AIで攻撃コード生成はたったの数時間に」 Fortinetが5製品を緊急更新＆警鐘：FortiOSなどの高リスク脆弱性に対処

Fortinetは複数のセキュリティ製品を対象に修正プログラムを公開し、外部公開機器の迅速な更新を呼び掛けた。同社によると、AIの進化で、脆弱性を突く攻撃コードの生成はわずか数時間で実現する可能性がある。これにどう備えればいいか。

[＠IT]

　Fortinetは2026年10月22日（現地時間、以下同）、複数のセキュリティ製品の脆弱（ぜいじゃく）性を修正する更新プログラムを公開した。

　対象は「FortiOS」「FortiManager」「FortiAnalyzer」で、先行して更新版を公開した「FortiMail」「FortiAuthenticator」も含む。重大・高リスクの脆弱性への対応として、同社は特にインターネットからアクセスできる機器の迅速な更新を求めている。

　今回の更新で注目されるのは、AIを活用した独自のセキュリティ検査によって発見された脆弱性への対応だ。Fortinetは、AIの進歩によって脆弱性の解析や攻撃コードの作成が高速化し、修正プログラムの公開から悪用までの時間が短くなる可能性があると警告している。

FortiOS含むFortinet製品5種を更新　すぐに更新できない場合の緩和策もあり

　修正済みバージョンは、FortiOSが8.0系で8.0.2以上、7.6系で7.6.8以上、7.4系で7.4.13以上、7.2系で7.2.14以上となる。

　FortiManagerとFortiAnalyzerは、両製品とも8.0系が8.0.2以上、7.6系が7.6.8以上、7.4系が7.4.12以上、7.2系が7.2.13以上だ。

　FortiMailは8.0系が8.0.2以上、7.6系が7.6.7以上、7.4系が7.4.9以上で修正する。7.2系については、7.4系以降への移行を求めている。FortiAuthenticatorは8.0系が8.0.4以上、6.6系が6.6.11以上となる。

　クラウド関連では「FortiSASE」を更新公開前に自動更新する計画を示した。「FortiManager Cloud」は2026年10月22日までに更新版を提供し、手動操作が必要になる場合もある。パブリッククラウドの製品については、各クラウド事業者を通じて順次更新する。

　同社は、脆弱性の詳細な勧告を2026年11月10日に製品セキュリティ対応チーム「PSIRT」のページで公開する方針だ。修正プログラムの提供を先行させ、顧客の保護と情報開示の両立を図る。

　利用者には、FortiManager機器やFortiOSの稼働環境を洗い出し、インターネットからアクセスできる機器を優先して更新するよう求めた。更新の前後には、管理者アカウントへの不審なアクセスや、承認していない設定変更がないかどうか、ログを確認することも重要だ。

　すぐに更新できない場合は、管理用HTTPSやSSHへの接続元を信頼できるIPアドレスに制限するか、外部インタフェースで無効にする。FortiManagerの管理画面をインターネットからアクセスできない状態にし、管理者アカウントには強固で固有の認証情報と多要素認証を適用することも推奨している。帯域外管理やVPN、SASEの背後に機器を配置する方法、仮想パッチなども暫定措置として挙げた。

　ただし、これらの措置は正式な更新の代わりにはならない。AIによる脆弱性解析が進めば、修正プログラムの公開後に攻撃者が弱点を特定するまでの時間が短くなる可能性がある。対象機器の把握から更新、更新後のログ確認までを一連の運用として徹底することが求められる。

AIで攻撃コード作成が数時間に？　パッチ公開後のリスク

　Fortinetによると、同社は最先端のAIモデルを製品のセキュリティ検査に導入し、プログラム内の処理経路や通信プロトコルの扱い、設定に関する処理などを分析した。従来のファジングや人手による確認では見つけにくい問題を、より深く、迅速に発見することを狙った取り組みだ。同社は、この検査にAnthropicやOpenAI、Google、Space Exploration Technologies（SpaceXとして事業展開）が協力したとしている。

　一方、同社が警戒するのは、こうしたAIの能力が攻撃者側にも広がることだ。公開型のAIモデルの進歩によって、攻撃者が修正プログラムを解析し、攻撃コードを作成するまでの時間が短縮される可能性があるという。Fortinetは、従来は数週間かかっていた作業が、数時間から数日で実行されるケースも想定している。

　修正プログラムには、脆弱性を解消するためのコード変更が含まれる。その変更点を調べる「パッチ差分解析」によって、攻撃者が修正対象となった処理や弱点を推測できる場合がある。修正版が公開されても更新されていない機器が残っていれば、攻撃者に狙われるリスクが高まる。

　また、単独では深刻度が比較的低い複数の脆弱性を組み合わせ、より重大な攻撃につなげる手法にも警戒が必要だと同社は指摘する。ただし、これらはFortinetが示した脅威の見通しであり、今回の脆弱性がAIによって実際に悪用されたことを示すものではない。