【緊急】Fortinet FortiOS・FortiProxyなど CVE-2025-61624：7.6.5／7.4.10以降へ更新（CVSS v3.1 6.5）— 管理者権限からroot権限を奪われ、メモリ常駐マルウェアの設置に使われた

FortiOS・FortiPAM・FortiProxy・FortiSwitchManagerのコマンドライン（CLI）に、管理者権限を持つ攻撃者が、機器上の任意のファイルを書き込んだり削除したりできる脆弱性があります。CVE-2025-61624です。Fortinetは2026年4月14日にアドバイザリ（FG-IR-26-122）を公表していましたが、CISAは10月16日、悪用の証拠があるとしてKEV（悪用が確認された脆弱性のカタログ）へ追加しました。さらに10月14日、Palo Alto NetworksのUnit 42が、この脆弱性が実際の侵入で使われた事例を報告しています。

自社でこれらの機器を運用している場合は、対象バージョンかどうかを確認し、修正版へ更新してください。FortiOS 7.6系は7.6.5以降、7.4系は7.4.10以降です。FortiOS 7.2・7.0・6.4は、全バージョンが対象で、Fortinetは「修正版のある系統へ移行する」ことを求めています。

「管理者権限が必要」だから軽いとは限りません。Unit 42の報告では、攻撃者はこの脆弱性でFortiOSの管理者から、機器のOSのroot権限へ権限を引き上げ、ディスクにファイルを残さずメモリだけに潜む、ARM64向けの新種マルウェア「PEERSTITCH」を設置しました。更新に加えて、侵害されていないかの確認が必要です。

このスコアの出どころを明記します。6.5はNVD（NIST）が付けたCVSS v3.1の値で、ベクタは `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H`（ネットワーク経由・高い権限が必要・ユーザー操作不要）です。採番元のFortinetは、同じv3.1で6.0（MEDIUM）を付けていて、ベクタは `AV:L`（ローカル）の点だけが違います（Fortinetのアドバイザリには、別に「時間的スコア 5.4」も書かれています）。どちらもMEDIUMで、v4.0の値はNVDにありません。この記事はNISTの値を表に採り、Fortinetの値を併記します。スコアは中程度でも、実際にroot権限の奪取に使われた事例があります。数字だけで優先度を下げないでください。弱点の種類はCWE-22（パス・トラバーサル）です。

今すぐ行う対策

• ✓自社の機器が対象かを確認する。FortiOS・FortiPAM・FortiProxy・FortiSwitchManagerのバージョンを、下の「対象と修正版」と照らします。FortiPAM 1.8は対象外です。Siemens製品に組み込まれたFortinet NGFWも対象になりえます（下の「対象と修正版」）
• ✓修正版へ更新する。FortiOS 7.6.0〜7.6.4は7.6.5以降、7.4.0〜7.4.9は7.4.10以降。FortiProxy 7.6.0〜7.6.4は7.6.5以降、7.4.0〜7.4.11は7.4.12以降。FortiPAM 1.7.0は1.7.1以降。FortiSwitchManager 7.2.0〜7.2.7は7.2.8以降、7.0.0〜7.0.6は7.0.7以降です
• ✓FortiOS 7.2・7.0・6.4、FortiPAM 1.6以前、FortiProxy 7.2・7.0は、修正版のある系統へ移行する。Fortinetは、これらは全バージョンが対象で「修正版へ移行」としています。更新経路はFortinetの「Upgrade Path Tool」で確認できます
• ✓すぐに更新できない場合は、Fortinetが案内する仮想パッチ（IPSのシグネチャ）を確認する。アドバイザリには、FMWP（FortiGuardのデータベース）の更新25.120に仮想パッチ「FG-VD-59270.0day」があると書かれています。これは更新の代わりではなく、当面の緩和策として案内されているものです
• ✓侵害の確認①：設定の履歴から、`system.auto-script` に `../../` を含む名前のオブジェクトがないか探す。Unit 42によると、攻撃ではこの名前を使ってファイルを意図しない場所に置きます。Unit 42が確認した例は `../../../../setup` と `../../tmp/apache2/conf/md-acme.conf` です。攻撃者は実行の直後にこのオブジェクトや不審な管理者アカウントを消していたため、現在の設定に残っていなくても、設定のリビジョン（履歴）を確認してください
• ✓侵害の確認②：クラッシュログを確認する。Unit 42は、`diagnose debug crashlog read` で、`miglogd`・`iked`・`syslogd` がシグナル11（セグメンテーション違反）で落ちた記録がないかを見るよう案内しています。メモリへの注入の試行が失敗した痕跡として現れうるためです
• ✓侵害の確認③：通信とファイルの痕跡を探す。下の「Unit 42が公開した痕跡（IoC）」の通信先・ファイル名・ハッシュと照合します。見つからなくても、攻撃者は痕跡を消していたと報告されているため、侵害されていない証拠にはなりません
• ✓メモリの検査は専門家に任せる。PEERSTITCHはディスクに残らないため、Unit 42は `miglogd` と `iked` のメモリを調べる方法（16,384バイトの実行可能な領域の有無など）も示しています。これはフォレンジックの専門知識が要る作業です。インターネットから管理画面に届いていた機器で疑いがあるなら、Fortinetのサポートか専門のインシデント対応事業者に相談してください
• ✓管理者アカウントを棚卸しする。攻撃は「読み書き以上の権限を持つ管理者」が前提です。使っていない管理者、共有している管理者、パスワードを使い回している管理者がないかを見直してください。これはFortinetが指示した対策ではなく、攻撃の前提条件から考えた一般的な確認です

対象と修正版（Fortinetのアドバイザリより）

• ▸FortiOS：7.6.0〜7.6.4 → 7.6.5以降／7.4.0〜7.4.9 → 7.4.10以降／7.2・7.0・6.4は全バージョン対象（修正版へ移行）
• ▸FortiProxy：7.6.0〜7.6.4 → 7.6.5以降／7.4.0〜7.4.11 → 7.4.12以降／7.2・7.0は全バージョン対象（修正版へ移行）
• ▸FortiPAM：1.8は対象外／1.7.0 → 1.7.1以降／1.6・1.5・1.4・1.3・1.2・1.1・1.0は全バージョン対象（修正版へ移行）
• ▸FortiSwitchManager：7.2.0〜7.2.7 → 7.2.8以降／7.0.0〜7.0.6 → 7.0.7以降
• ▸Siemens RUGGEDCOM APE1808（Fortinet NGFWを搭載）：Fortinet NGFWが7.4.10より前の全バージョンが対象。Siemensは「Fortigate NGFWを7.4.10以降へ更新し、パッチと更新情報はサポートに問い合わせる」としています（Siemens ProductCERT SSA-975644）。Fortinetのアドバイザリの製品表にはない、NVDのCVE記録に載っている影響製品です

何が起きるのか

• ▸場所と種類：CLI（コマンドラインインタプリタ）で、既存のコマンドに細工した引数を渡すと、機器上の任意のファイルを書き込み・削除できるとされています（CWE-22）
• ▸必要な権限：NVDの説明は「管理者プロフィールで、少なくとも読み書きの権限を持つ認証済みの攻撃者」です。CVSSも `PR:H`（高い権限）です。認証なしで誰でも突ける脆弱性ではありません
• ▸Unit 42が説明する仕組み：FortiOSの管理者は、シェルを持たない制限されたCLIの中で動き、機器のファイルシステムやプロセスを直接は操作できません。ところが `system.auto-script` のオブジェクト名が検証されていないため、`../` を含む名前でスクリプトの本体を意図しない場所へ置けます。スクリプトは自動実行エンジンの権限（root）で動くので、管理者アカウントからroot権限を得られます（Unit 42）
• ▸Fortinet側の分類：アドバイザリの「影響」は権限昇格（Escalation of privilege）、深刻度は Medium、発見は社内（Internal）、「Known Exploited（悪用の既知）」は Yes です
• ▸CISAの評価：10月16日のアラートで、悪用の証拠に基づいてKEVへ追加したと書いています。NVDに記録されたCISAの評価（SSVC）は、悪用が「active」、自動化が「no」、技術的影響が「total（全面的）」です。ランサムウェアでの使用はKEVの欄で「Unknown（不明）」です

Unit 42が報告した侵入の様子

この節は、Palo Alto NetworksのUnit 42が2026年10月14日に公開した報告「Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant」に基づきます。報告が扱うのは、通信事業者向けのマネージドサービス事業者が受けた、ひとつの侵入事例です。この脆弱性の悪用が、この事例だけとは限りません。また、他の事例の規模は公表資料からは分かりません。

• ▸時期と攻撃者：侵入は2024年9月に起きたとされています。攻撃者はUnit 42が「CL-STA-0954（別名UNC5820）」と呼ぶグループで、報告は「疑われる国家支援の攻撃者の侵入と重なる部分がある」と書いています。断定ではありません
• ▸入口は別の脆弱性：最初の侵入は、集中管理用のFortiManagerの別の脆弱性（CVE-2024-47575）です。この記事のCVE-2025-61624は、その後に、FortiOSの管理者からroot権限へ引き上げるために使われました。FortiManagerの脆弱性は、この記事の対象ではありません
• ▸PEERSTITCH：Unit 42は、これをメモリ上だけで動くARM64向けの新種マルウェアと説明しています。ディスクにファイルを残さず、待ち受けポートを開かず、外へ向かう通信も自分では行わず、機器の正規のプロセスの通信にまぎれるため、一般的な端末・ネットワークの検知をすり抜けやすいとされています。注入先は `miglogd`（ログ）と `iked`（IPsec VPN）の2つのプロセスです
• ▸もうひとつの足がかり：機器に標準で入っているApacheの `mod_md`（証明書の自動取得に使う機能）を悪用して、リモートからコマンドを実行できる経路を作ったと報告されています
• ▸痕跡の消去：不審な管理者アカウントやVPNグループ、自動実行オブジェクトを、実行の直後に設定のロールバックで削除していました。ログの送信を妨げた形跡もあります。そのため、設定の「履歴」とクラッシュログの確認が重要になります
• ▸被害の広がり：起点のFortiManagerからは、500台を超える管理対象のFortiGateの設定・暗号鍵・資格情報が持ち出されたと報告されています。ただし報告は、顧客側のネットワークには立ち入っておらず、顧客への侵入は確認していないと書いています

Unit 42が公開した痕跡（IoC）

報告に載っている指標のうち、確認しやすいものを抜き出します。（`[.]` は、うっかりアクセスしないためにドットを括弧で囲んだ表記です）全体と検知用のYARAルールは、Unit 42の報告本体にあります。

• ▸通信先のIPアドレス：`23.240.77[.]233`（攻撃用ファイルの配布と、不正な証明書発行サーバーの役）、`47.18.167[.]159`（同じく配布）、`45.32.41[.]202` と `198.199.122[.]22`（FortiManagerに不正に登録された偽のFortiGate）
• ▸自動実行オブジェクトの名前（パス・トラバーサル）：`../../../../setup`、`../../tmp/apache2/conf/md-acme.conf`
• ▸ファイル名：`lldprx`（PEERSTITCH本体）、`pM.js`、`index.js`、`index.wasm`、`ipssem.js`
• ▸本体のSHA-256ハッシュ：`b9fb0b27ddd59b58d3ae53c7227298a3e0de1e6f868b9429ae21533bb9cd1e70`（PEERSTITCHの注入用実行ファイル。他のハッシュは報告本体を参照）
• ▸見つからなくても安全の証明にはなりません。ファイルは実行後に自分で削除され、メモリ上だけに残るため、ファイルやハッシュでは見つからないことがあります

何が起きたか（日付つき）

• ▸2024年9月：Unit 42が調査した侵入が起きたとされる時期（Unit 42）
• ▸2026年4月14日：Fortinetがアドバイザリ FG-IR-26-122 を公表。NVDにもこの日にCVE-2025-61624が登録されました
• ▸10月14日：Unit 42が、この脆弱性を悪用したPEERSTITCHの報告を公開
• ▸10月15日：NVDに記録されたCISAの評価（SSVC）の日付
• ▸10月16日：CISAがKEVに追加。NVDに記録された連邦機関の対応期限は10月19日で、すでに過ぎています。米国の連邦機関に課された期限で、日本の組織を拘束しませんが、急がれている度合いの目安にはなります
• ▸10月17日：NVDの記録が更新されました（NVDの「最終更新日」）

確認できなかったこと

• ▸この脆弱性が、Unit 42の報告以外でどれだけ悪用されているか。CISAもFortinetも、攻撃の規模や被害は公表していません
• ▸「2024年9月の侵入」と「2026年4月の公表」の時間差の理由。Unit 42の報告は2024年の侵入でこの脆弱性が悪用されたと書いていますが、その時点で修正版や公表があったかは確認していません
• ▸FortinetがKnown Exploitedを「Yes」にした日。アドバイザリの履歴（Timeline）には、4月14日の初回公表しか書かれていません
• ▸日本語の公的機関の注意喚起。JVNなど国内の機関の記述は、今回の調査では確認していません
• ▸修正版の公開日。アドバイザリは修正版の番号を示していますが、各版の公開日は確認していません。更新の入手は、Fortinetのサポートサイトで確認してください
• ▸PEERSTITCHがARM64の機器だけを狙うのか。報告はARM64向けの実行ファイルを説明していますが、他の構成の機器で同じ手口が使えないかは、公表資料からは分かりません

共有するならこの3行

• ▸Fortinet製品（FortiOS・FortiProxy・FortiPAM・FortiSwitchManager）のCLIの脆弱性（CVE-2025-61624・CVSS v3.1 6.5）。管理者からroot権限を奪われ、メモリ常駐マルウェアの設置に使われた事例をUnit 42が10月14日に報告し、CISAも10月16日にKEVへ追加した
• ▸★FortiOSは7.6.5／7.4.10以降へ更新。7.2・7.0・6.4は全バージョンが対象で、修正版のある系統へ移行が必要。更新できないときはFortinetの仮想パッチ（FG-VD-59270.0day）を確認する
• ▸更新だけで終わらせない。設定の履歴で `system.auto-script` に `../../` を含むオブジェクトがないか、クラッシュログに `miglogd`・`iked` の異常終了がないかを確認し、疑いがあればFortinetか専門事業者へ相談する