今回はインターネットに面した機器とサーバの重大な脆弱性を3件取り上げます。メールの入口となるFortiMail、社外との境界に置くファイアウォール／VPN機器のWatchGuard Firebox、自社サイトを動かすApache HTTP Serverで、深刻度の高い脆弱性が週明けに相次ぎました。FortiMailはすでに実際の攻撃で悪用が確認され、WatchGuardはベンダー自身が緊急の更新を呼びかけています。いずれも中小企業がそのまま使っている可能性が高い製品です。自社に該当する機器・ソフトがあるかの確認と、更新の優先順位付けを今日中に始めてください。
NEWS 01
Fortinet公表／Help Net Security・CISA KEV（各社報道）｜ 2026年10月1日公表
FortiMailに認証不要で悪用可能なゼロデイ脆弱性（CVE-2026-104286、CVSS 9.8）――細工したリクエストで任意ファイル書き込み、すでに攻撃を確認
Fortinetは2026年10月1日、メールセキュリティ製品「FortiMail」に深刻な脆弱性CVE-2026-104286（CVSS 9.8）が存在すると公表しました。認証を受けていない攻撃者が、細工したHTTPまたはHTTPSのリクエストを送るだけで、機器の基盤システムに任意のファイルを書き込める脆弱性です。技術的にはパストラバーサル（CWE-22）と、NULL文字が適切に無害化されない問題（CWE-158）に起因します。
影響を受けるのはFortiMail 8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9です。Fortinetは修正版として8.0.2、7.6.7、7.4.9を案内しており、速やかな更新が求められます。この脆弱性はすでに実際の攻撃で悪用されていることが報告されており、米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）は既知の悪用された脆弱性（KEV）カタログに追加し、連邦民間機関に対し2026年10月4日までの対応を指示しました。
▌中小企業への影響
FortiMailは迷惑メールや不正メールを入口で止めるための製品で、中小企業でも導入例が少なくありません。認証不要で任意のファイルを書き込まれると、設定ファイルの改ざんや不正プログラム（Webシェル等）の設置を通じて、機器そのものを乗っ取られる恐れがあります。メールの入口を押さえられれば、全社員の送受信メールを盗み見られたり、取引先への攻撃メールを送る踏み台にされたりします。すでに悪用が確認されている以上、「そのうち対応する」では間に合いません。
▌推奨対応
- 自社のメール基盤にFortiMailを使っているか、使っている場合は稼働中のバージョンを確認する
- 影響バージョンに該当する場合、Fortinetが案内する修正版（8.0.2／7.6.7／7.4.9 以降）へ速やかに更新する
- すぐに更新できない場合は、管理用インターフェースをインターネットから遮断し、アクセス元を限定する
- 更新前に、設定ファイルの改変・不審なファイルの有無・管理者アカウントの不正追加がないかを点検する
- 保守を外部ベンダーに委託している場合、更新の実施時期と作業の責任分担をすぐに確認する
NEWS 02
WatchGuard公表／SecurityWeek・securityonline ほか（各社報道）｜ 2026年9月下旬〜10月
WatchGuard Fireboxに認証不要で悪用可能な複数の緊急脆弱性（CVE-2026-19313 ほか、最大CVSS 9.3）――VPN処理の不具合で遠隔コード実行、ベンダーが即時更新を要請
WatchGuardは、同社のファイアウォール製品「Firebox」で動作する「Fireware OS」に複数の深刻な脆弱性があるとして修正版を公開しました。最も深刻なのはCVE-2026-19313（ヒープベースのバッファオーバーフロー、CVSS 9.3）で、ほかにCVE-2026-19318（スタックベースのバッファオーバーフロー）、CVE-2026-19315（型の取り違え）があります。いずれも認証を受けていない遠隔の攻撃者が、特殊なネットワーク通信を送ることで遠隔コード実行（RCE）に悪用できる恐れがあります。
問題があるのはVPN接続を処理する「iked」（IKE）プロセスで、VPNを有効にしているFireboxが影響を受けます。WatchGuardは修正版としてFireware OS 2026.2.2、12.12.2、12.5.20を公開し、「ただちに更新を」と利用者に強く呼びかけています。現時点で悪用の報告は確認されていませんが、認証不要で遠隔コード実行に至る脆弱性は攻撃者にとって価値が高く、修正公開後は速やかに狙われる傾向があります。
▌中小企業への影響
WatchGuard Fireboxは、価格と機能のバランスから中小企業のファイアウォール／VPN機器として広く使われています。認証不要で遠隔コード実行を許す脆弱性が境界機器にあると、社内ネットワークへの侵入口を直接開けられることになります。しかも不具合はVPN接続を処理する部分にあり、テレワーク用にVPNを有効にしている組織ほどリスクが高くなります。前号（10月2日号）で取り上げたNetScalerの脆弱性と同様、「社外との境界に置く機器」が繰り返し狙われており、境界機器のパッチ適用は後回しにできません。
▌推奨対応
- 社内のファイアウォール／VPNにWatchGuard Fireboxを使っているか、使っている場合はFireware OSのバージョンを確認する
- 影響を受ける場合、WatchGuardが案内する修正版（Fireware OS 2026.2.2／12.12.2／12.5.20 以降）へただちに更新する
- VPN（モバイルVPN／ブランチVPN）を有効にしているかを確認し、有効なら優先的に更新する
- 更新までの暫定策として、不要なVPN機能や管理アクセスをインターネットから遮断できないか検討する
- 更新後、不審な通信・設定変更・新規アカウントの追加がないかログを点検する
NEWS 03
Apache Software Foundation公表／Security NEXT ほか｜ 2026年10月1日公表
Apache HTTP Serverが20件の脆弱性を修正した「2.4.69」を公開――mod_vhost_aliasの不具合（CVE-2026-63292）は特定構成で任意コード実行の恐れ
Apache Software Foundationは2026年10月1日、Webサーバソフト「Apache HTTP Server」の新版2.4.69を公開し、計20件の脆弱性を修正しました。最も注目されるのはCVE-2026-63292で、仮想ホスト機能「mod_vhost_alias」にスタックベースのバッファオーバーフローが存在します。特定の構成下で8192バイトを超えるHostヘッダを受け取ると、サービス停止や任意コード実行につながる恐れがあります。CVSSの基本値は9.8ですが、Apache自身は影響を受ける条件が限られることから深刻度を「中（Moderate）」と評価しています。
このほか、mod_http2における解放済みメモリの使用（CVE-2026-57941）、Windows環境でのパス処理における境界外書き込み（CVE-2026-59685）などが修正されました。20件の内訳はApacheの評価で「中」5件、「低」15件で、「重要」「緊急」はありません。ただしCVSS値だけを見れば高いものも含まれており、どのモジュールを使っているかなど構成次第で影響の大きさは変わります。
▌中小企業への影響
Apache HTTP Serverは、自社サイトや社内システムのWebサーバとして広く使われています。深刻度が「中」であっても、該当する構成（mod_vhost_aliasを使うなど）で外部に公開していれば現実的なリスクになります。「Apache自身がModerate評価だから急がなくてよい」と一律に判断せず、自社の構成に当てはまるかで優先度を決めるべきです。多くの中小企業はWebサーバの構成を把握しないまま運用しており、どのモジュールが有効かを知らないことが、対応の遅れにつながります。
▌推奨対応
- 自社のWebサーバがApache HTTP Serverか、バージョンが2.4.69未満かを確認する
- 2.4.69へ更新する。共用レンタルサーバを利用している場合は事業者の対応状況を確認する
- mod_vhost_aliasやmod_http2を使っているかを確認し、使っていれば優先的に更新する
- 更新までの暫定策として、異常に長いHostヘッダを遮断する設定（WAF等）を検討する
- Webサーバの構成（有効モジュール・公開範囲）を文書化し、次回の脆弱性公表時にすぐ判断できるようにする
編集部まとめ
今週はメールの入口（FortiMail）、社外との境界に置くファイアウォール／VPN（WatchGuard Firebox）、自社サイトの土台（Apache）という、インターネットに面した3種の基盤で重大な脆弱性が相次ぎました。FortiMailはすでに悪用が確認され、WatchGuardも認証不要で遠隔コード実行に至るため猶予はありません。まず自社に該当する機器・ソフトがあるかを棚卸しし、FortiMailとWatchGuardの境界機器を最優先で更新してください。Apacheは自社の構成（有効なモジュールと公開範囲）に当てはまるかで優先度を判断します。
参考情報
- 「Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)」Help Net Security（2026年10月2日）
- 「Critical FortiMail Zero-Day Flaw Exploited in Attacks」The Hacker News（2026年10月）
- 「WatchGuard Patches Critical Fireware OS Code Injection Vulnerability」SecurityWeek
- 「CVE-2026-19313 (CVSS 9.3): WatchGuard Fireware Pre-Authentication Remote Code Execution Flaws Patched」securityonline.info
- 「『Apache HTTPD』に複数脆弱性 ― 『クリティカル』との評価も」Security NEXT（2026年10月1日）
- 「Apache HTTP Serverの脆弱性と新バージョン（2.4.69）」SIOS SECURITY BLOG（2026年10月2日）
