Trusted Design

解説:

CVE-2026-21643について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-21643は、Fortinet FortiClient Enterprise Management Server (EMS) 7.4.4に存在するSQLインジェクションの脆弱性です。この脆弱性は、HTTPリクエスト処理コンポーネントにおける不適切な入力検証とサニタイズ、特にSQLコマンドで使用される特殊な要素の不適切な無効化（CWE-89）に起因します。具体的には、Site HTTPヘッダーが認証前の段階で、検証なしにデータベースクエリに直接渡されることによって発生します。これにより、認証されていない攻撃者が、特別に細工されたHTTPリクエストを介して不正なコードやコマンドを実行する可能性があります。

1.1 影響

本脆弱性が悪用されると、認証されていない攻撃者は、脆弱なFortiClient EMSインスタンス上で不正なコードまたはコマンドを実行できる可能性があります。これにより、以下のような深刻な影響が生じる可能性があります。

• システム全体の侵害、データ漏えい、および企業ネットワーク内でのラテラルムーブメント。
• データベースクエリの操作、機密性の高いエンドポイント設定データ、クレデンシャルへのアクセス、または基盤システム上での任意のコマンド実行.
• EMSサーバー上での不正なコードまたはコマンドの実行。
• EMS PostgreSQLデータベースに対する任意のSQL実行（EMSデータベースユーザーの権限で）、仮想マシンイメージではスーパーユーザー権限で動作するため、COPY ... TO/FROM PROGRAMを介したOSコマンド実行が可能。
• 管理者パスワードハッシュ、APIトークン、JWTシークレットなどのクレデンシャル窃取、およびエンドポイントデータの持ち出し。

1.2 深刻度

CVE-2026-21643は、CVSS v3.1スコアで9.8の「緊急（Critical）」と評価されています。攻撃はネットワークベースであり、認証やユーザーインタラクションは不要です。2026年3月30日以降、本脆弱性が悪用されていることが確認されており、CISAは2026年4月13日に「既知の悪用されている脆弱性カタログ」に追加しました。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Fortinet FortiClientEMSバージョン7.4.4のみが影響を受けます。
• FortiClient EMS 7.2.xおよび8.0.xブランチは影響を受けません。

2.2 影響を受ける設定

• 特に、マルチテナントモードが有効なFortiClient EMS 7.4.4の展開が影響を受けます。
• シングルサイト展開は影響を受けません。
• 本脆弱性は、バージョン7.4.4のミドルウェアのリファクタリング中に導入されました。

3. 影響を受けた時の兆候

Fortinetの公式アドバイザリでは、具体的な攻撃者のIPアドレス、ハッシュ、ファイル名、コマンド文字列などの専用のIOC（侵害の痕跡）は提供されていません。しかし、以下の兆候が確認された場合は、侵害の可能性があります。

• FortiClientEMS管理インターフェースを標的とした、SQL構文パターンを含む異常なまたは不正な形式のHTTPリクエスト。
• FortiClientEMSログにおけるデータベースエラーメッセージまたは予期しないクエリ応答。
• データベース監査ログで検出された不正なデータベースクエリまたは変更。
• 予期しないソースからFortiClientEMS管理ポートへの異常なネットワークトラフィック。
• EMSサーバープロセスで予期しない子プロセスの生成（例: cmd.exe, powershell.exe）。

4. 推奨対策

4.1 本対策

• 直ちにアップグレードしてください: FortiClient EMS 7.4.4をバージョン7.4.5以降にアップグレードしてください。
• 最新のパッチ情報と推奨されるアップグレードパスについては、Fortinet Security Advisory FG-IR-25-1142を参照してください。

4.2 暫定回避策（緩和策）

• ネットワークアクセスを制限する: FortiClient EMSのWeb GUIへのHTTPSアクセスを、承認された管理ネットワークのみに制限し、インターネットに直接公開しないでください。本脆弱性の悪用には、EMS Webインターフェースへの直接的なHTTPSアクセスが必要です。
• マルチテナンシーを無効にする: マルチテナントモードが不要な場合は、「Sites」機能を無効にすることで、SITES_ENABLED=Falseが設定され、SiteMiddlewareがデフォルトをハードコードし、Siteヘッダーを読み込まなくなります。これにより、攻撃対象が排除されます。
• WAF/リバースプロキシによるフィルタリング: ウェブアプリケーションファイアウォール（WAF）またはリバースプロキシのルールを展開し、Site HTTPヘッダーを削除または検証し、シングルクォート、セミコロン、またはSQLキーワードを含む値をブロックしてください。
• 監視: パッチが適用されるまでの間、FortiClientEMSインスタンスを侵害の兆候がないか監視してください。

その他に解説すべき観点

• 公開タイムライン: Fortinetは2026年2月6日にアドバイザリFG-IR-25-1142を公開し、同日にCVE-2026-21643がNVDに公開されました。2026年3月30日には積極的な悪用が報告され、2026年4月13日にCISAの「既知の悪用されている脆弱性カタログ」に追加されました。
• 技術的な詳細: 本脆弱性は、Site HTTPヘッダーの不適切な処理に起因し、このヘッダーが認証前に検証なしにデータベースクエリに直接渡されます。攻撃者によって制御されたSiteヘッダーは、PostgreSQLのsearch_pathを設定するために使用され、任意のSQLコマンド実行が可能になります。
• 攻撃経路: ネットワークベースであり、認証不要でユーザーインタラクションも必要ありません。/api/v1/init_constsのような認証前のエンドポイントを介して悪用可能です。

参照したサイト

• CVE-2026-21643: Fortinet FortiClientEMS SQLi Vulnerability - SentinelOne
• CVE-2026-21643 FortiClient EMS SQL Injection - Horizon3.ai
• CVE-2026-21643: Critical SQL Injection in Fortinet FortiClient EMS Exploited in the Wild
• CVE-2026-21643: Critical SQL Injection in FortiClientEMS - Arctic Wolf
• Pre-Authentication SQL Injection in FortiClient EMS 7.4.4 - CVE-2026-21643 - Bishop Fox
• CVE-2026-35616 & CVE-2026-21643 - Fortinet FortiClientEMS: Overview & Takeaways - NetSPI
• NVD-CVE-2026-21643 - NIST
• CYBER ADVISORY
• Fortinet EMS Vulnerabilities Actively Exploited - Greenbone