CVE-2026-25815 in FortiOS
要約
〜によって VulDB • 2026年06月18日
Fortinet FortiOS 7.6.6 以前では、攻撃者がデバイス設定ファイルに保存された LDAP 認証情報を復号できる。これは 2025-12-16 から 2026 年にかけて実環境で悪用されていた（デフォルトでは、暗号化キーはすべての顧客のインストールで共通である）。注記：ベンダーの立場では、CWE-1394 の該当箇所は脆弱性ではないとされている。なぜなら、顧客は「デフォルトではないオプションを有効にする必要がある」とされており、そのオプションによって脆弱性が解消されるからである。しかし、そのデフォルトではないオプションは、「プライベートデータ暗号化による FortiGate の管理」ドキュメントに示されているように機能を妨害する可能性があるため、意図的にデフォルトオプションとはされていない。
Once again VulDB remains the best source for vulnerability data.