結論を先に言う。FortiClient EMS（エンドポイント管理サーバー）を7.4.5または7.4.6で運用している企業は、この記事を読み終える前に「自社のバージョン」だけ先に確認してほしい。 2026年4月、Fortinetは同製品の重大な脆弱性 CVE-2026-35616（アドバイザリ番号 FG-IR-26-099） を公表した。認証なしでリモートから不正なコードを実行できるタイプで、Fortinet自身が「実際に悪用されている（exploited in the wild）」と明記している。米CISAも同月、これを既知の悪用済み脆弱性（KEV）カタログへ追加した。
さらに厄介なのは、この脆弱性を悪用して 「Fortinetの修正パッチを装った偽の更新プログラム」を配布し、情報窃取マルウェア（EKZ infostealer）に感染させる攻撃が、その後に観測されている点だ（セキュリティベンダーArctic Wolfの調査）。つまり「パッチを当てなきゃ」と焦った担当者が、偽物をつかまされて逆に被害を広げるという二次被害の構図まで生まれている。ニュースを読んで安心するのではなく、**「該当確認 → 暫定遮断 → 正規パッチ適用 → 痕跡確認 → 再発防止」**という順番で手を動かせるかどうかが、被害の分かれ目になる。
この記事は、セキュリティ専門メディアが英語で並べる技術情報を、社内にIT専任者がいない中小企業でも実行できる手順と判断軸に翻訳し直したものだ。GXOがセキュリティ運用支援の現場で使っている「経営者が読む前提のチェックリスト」の形で提供する。
この記事の要点（30秒で把握）
- 対象: FortiClient EMS 7.4.5 / 7.4.6。7.2以前・8.0は本件の対象外。FortiClient Cloud / FortiSASE はFortinet側で対処済み（利用者の作業不要）。
- 危険度: Fortinet PSIRTは CVSS 9.1（Critical）、米NVDは 9.8（Critical） と評価。数値は割れているが、どちらも「最上位クラス」で結論は変わらない。
- 状態: 認証不要・リモートから悪用可能。すでに実攻撃で使われているゼロデイ。CISA KEV登録・米連邦機関には短い是正期限が課された。
- やること: 正規のFortinet Support Portalからのみ 7.4.7以上へアップグレード（または7.4.5/7.4.6向けホットフィックス）。管理インターフェースの外部公開を止める。偽パッチに注意。
- 中小企業の落とし穴: ①バージョンを誰も把握していない ②EMSがなぜかインターネットに公開されている ③保守契約の窓口が曖昧で「誰が当てるのか」が決まっていない ④焦って偽パッチをつかむ。
- 単発対応で終わらせない: FortiClient EMSは数週間のうちに複数のCritical脆弱性が続いた。パッチは一度きりの作業ではなく「棚卸し→判定→対応→証跡」を回す運用課題として捉える。
セキュリティのニュースは、読むだけでは防御力にならない。**「自社に該当するか」「いつまでに」「誰が」「どう報告するか」**の4点に変換して初めて意味を持つ。この記事はその変換を代行する。
EMERGENCY RESPONSE
この脆弱性、貴社システムは影響を受けますか？
影響範囲の一次評価を無料で実施。致命的脆弱性は24時間以内にアラートし、パッチ適用・恒久対応まで伴走します。
この記事を読むべき人
- FortiClient EMSを使っている、または「使っているかどうか自体が分からない」中小企業の経営者・事業責任者
- 情シスが1人、または他業務と兼任で、脆弱性ニュースへの初動を毎回抱え込んでいる担当者
- 「ベンダー（販売代理店・SIer）に任せているから大丈夫」と思っているが、契約範囲を確認したことがない決裁者
- VPNやエンドポイント管理の見直し、ZTNA移行、セキュリティ体制の再構築を検討し始めた責任者
- 過去にパッチ適用を後回しにした経験があり、「今度こそ仕組みで回したい」と考えている方
一つでも当てはまるなら、この脆弱性は「うちの問題」である可能性が高い。以下を上から順に確認してほしい。
何が起きたのか（事実の整理）
FortiClient EMS（Enterprise Management Server）は、社内PCやモバイル端末に入れたFortiClient（VPN・エンドポイント保護のクライアント）を、一台のサーバーから一元管理するための製品だ。VPN接続設定、セキュリティポリシー、ソフトウェア配布——これらを全端末に配る「司令塔」にあたる。司令塔が乗っ取られれば、その配下の端末すべてに不正な設定やプログラムを配れてしまう。 これが本件の深刻さの本質だ。
今回の脆弱性は、Fortinetの公式アドバイザリ（FG-IR-26-099）によれば 不適切なアクセス制御（CWE-284） に分類される。技術的には、EMSのAPIに対して認証・認可を迂回する「細工したリクエスト（crafted requests）」を送ることで、認証されていない攻撃者が不正なコードやコマンドを実行できる、というものだ。複数のセキュリティベンダー（Horizon3.ai、watchTowr等）は、これを「事前認証（pre-authentication）のAPIアクセス迂回」と説明している。
タイムライン（公表情報ベース）
横にスクロールして確認できます
| 日付（2026年） | 出来事 | 出典区分 |
|---|---|---|
| 3月31日 | セキュリティ企業watchTowrのセンサーが実際の悪用を観測（公表前＝ゼロデイ） | 二次（専門ベンダー） |
| 4月3〜4日 | FortinetがアドバイザリFG-IR-26-099を公表、ホットフィックスをリリース | 一次（Fortinet PSIRT）／NVD公開日は4月3日 |
| 4月6日 | 米CISAがKEV（既知の悪用済み脆弱性）カタログへ追加、連邦機関に4月9日までの是正を指示 | 一次（CISA） |
| 5月頃 | 本脆弱性を悪用し、偽Fortinetパッチを介してEKZインフォスティーラーを配布する攻撃を観測 | 二次（Arctic Wolf） |
日付には出典により1日程度のずれがある（Fortinet公表4月4日／NVD公開4月3日）。**「4月上旬に公表された、公表前から悪用されていたゼロデイ」**と理解しておけば十分だ。細部の期日より、「自社が該当するか」の方が先だ。
なお、FortiClient EMSは今回の数週間前にも別のCritical脆弱性（CVE-2026-21643、管理インターフェースのSQLインジェクション、こちらも悪用が報告された）が公表されている。同一製品でCritical脆弱性が短期間に連続しているという事実自体が、後述する「単発パッチではなく運用で回すべき」という判断の根拠になる。
CVSS「9.1」と「9.8」、どちらを信じるべきか（一次ソースの読み方）
本件を各社が報じる際、深刻度スコアが 9.1と9.8で割れている。この違いは中小企業のセキュリティ判断でよく混乱の元になるので、GXOの実務的な読み方を示しておく。
- Fortinet PSIRT（製品ベンダー自身）: CVSS 9.1（Critical）
- NVD（米国立標準技術研究所の脆弱性DB）: CVSS 9.8（Critical）、ベクトルは
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
なぜ割れるのか。CVSSは評価する主体（ベンダーか、NVDのアナリストか）が、攻撃条件や影響範囲をどう解釈するかで小数点以下が変わることがある。ベンダーは自社製品の挙動を最もよく知る一方、影響を保守的（低め）に見積もる傾向が指摘されることもあり、NVDは公開情報から独立に採点する。どちらか一方だけを絶対視しない。両方を確認したうえで、より高い方（＝より悲観的な前提）で初動を組むのが安全側の判断だ。
ただし実務上、この差はほとんど意味を持たない。9.1も9.8も「Critical」であり、認証不要・リモート・悪用実績ありという三拍子がそろっている以上、対応の緊急度は最上位で確定する。スコアの1桁目が9であること、そして「exploited in the wild」の一文があること——中小企業が見るべきはこの2点だけだ。小数点の議論に時間を使うより、バージョン確認に5分使うほうが100倍価値がある。
GXOの判断軸: 脆弱性ニュースを受け取ったら、まず「①認証は必要か（不要なら危険）」「②リモートから可能か」「③悪用実績はあるか」「④自社に該当製品・該当バージョンはあるか」の4問だけで初動の要否を即断する。CVSSの端数は、優先順位付けの最後の調整に使う程度でよい。
なぜ「管理サーバー」の脆弱性はこれほど危険なのか
一般的な業務サーバーが1台侵害されるのと、EMSのような管理サーバーが侵害されるのとでは、被害の広がり方が根本的に違う。理由は3つある。
- 配下の全端末に影響が波及する: EMSはポリシーやソフトウェアを全端末に配信する立場にある。攻撃者がEMSを掌握すれば、正規の配信経路を使って不正な設定やプログラムを一斉に配れる。実際、今回の後続攻撃では、EMSを踏み台にVPN設定へ悪意あるPowerShellスクリプトを仕込む手口が報告されている。
- 信頼された経路なので検知されにくい: 端末側から見れば「いつもの管理サーバーからの配信」であり、疑わしく見えない。ここが、外部からの不審なアクセスよりも見つけにくい。
- インターネットに公開されていることが多い: リモートワーク対応で、EMSの管理インターフェースやエンドポイント通信ポートを社外からアクセスできる状態にしている企業は少なくない。あるセキュリティ企業（Horizon3.ai）は、インターネットに露出したEMSインスタンスがおよそ2,000件規模で存在すると報告している。攻撃者にとっては「探せば見つかる標的」だ。
日本国内でもFortinet製品のシェアは高く、中小企業のVPN・エンドポイント基盤として広く使われている。攻撃者は「一つの脆弱性で多数の企業に横展開できる」ことを知っており、シェアの高い製品ほど狙われやすい。さらに、警察庁が公表するランサムウェア被害の統計では、感染経路の大半がVPN機器やリモートデスクトップといったネットワーク機器の脆弱性・設定不備を突いたものだと継続して報告されている（最新の正確な比率は警察庁の年次公表資料で確認してほしい）。今回のEMSのような境界・管理機器の脆弱性は、まさにその入口を提供してしまう。
【最重要】偽パッチに注意——「Fortinetの更新」を装う情報窃取
この脆弱性の対応で、技術メディアの多くが十分に日本語で警告できていない論点がある。**「パッチを装った攻撃」**だ。ここが今回いちばん伝えたい部分なので、独立した節にする。
セキュリティベンダーArctic Wolfの調査（2026年5月頃に観測）によると、攻撃者はCVE-2026-35616を悪用してEMS経由でVPN設定に悪意あるPowerShellスクリプトを注入し、それを**「Fortinetのエンドポイント向け修正パッチ」に見せかけて**実行させた。感染するのは EKZ と呼ばれる情報窃取マルウェア（infostealer）で、報告されている挙動は以下のとおりだ。
- Chrome / Firefox など主要ブラウザに保存されたパスワードやCookieを窃取
- 住所・電話番号・クレジットカードなどのオートフィル情報を窃取
- 認証済みのセッションCookieを盗み、多要素認証（MFA）を再度求められずにセッションを乗っ取る
つまり、「MFAを入れているから大丈夫」という前提すら、セッションCookieを盗まれれば崩れうる。ここで中小企業が犯しがちな判断ミスは明確だ——焦って「Fortinet パッチ」で検索し、出所不明のリンクやメールの添付から更新プログラムを入手してしまうこと。
偽パッチに引っかからないための鉄則
- 修正プログラムは、正規の Fortinet Support Portal（support.fortinet.com）からのみ入手する。 検索結果の広告、メール添付、SNSのDM、「至急」を煽る通知経由では絶対に入手しない。
- 保守契約がある場合は、契約している販売代理店・SIerに「正規の入手経路」を確認してから作業する。
- 「パッチ」と称してPowerShellの実行やスクリプトの手動投入を求めてくる案内は、いったん疑う。正規のホットフィックス適用手順と食い違わないか、公式ドキュメントと突き合わせる。
- 参考として報告されている痕跡（IoC）: EMS管理面のログに「Certificate not found in request header」に続く不審な設定変更、
C:\Program Files\Fortinet\FortiClient\logs\Trace\scriptsからのPowerShell実行、C2サーバー83.138.53.110への通信。ただしIoCは変化するため、最新はArctic Wolf等の公表と自社EDR/監視で必ず更新すること。
今すぐやる5ステップ（社内にIT専任者がいなくても回せる）
「専門家がいないと無理」と思考停止しないための、順序立てた行動指針だ。上から順に、できるところまでやる。
ステップ1｜そもそもFortiClient EMSを使っているかを確認する（5分）
意外に多いのが「使っているかどうか自体が分からない」ケースだ。以下で判断する。
- 社内でVPN接続に「FortiClient」というソフトを使っている → EMSで管理している可能性が高い
- VPN・ファイアウォールの構築を任せたベンダーがFortinet製品を導入した → 契約書・構成図・請求書で確認
- 分からなければ、構築ベンダーに「当社はFortiClient EMSを使っているか、バージョンは何か」を一次質問する
ステップ2｜バージョンを確認する（5分）
EMSの管理コンソール（通常はHTTPSでアクセス）にログインし、ダッシュボード上部または「About」でバージョンを確認する。7.4.5 または 7.4.6 なら本件の対象だ。7.2以前・8.0は本件対象外だが、他の既知脆弱性の観点から最新版維持は推奨する。
ステップ3｜外部からのアクセスを暫定的に絞る（30分）
パッチをすぐ当てられない場合でも、被害の窓を狭められる。
- EMSの管理インターフェースやエンドポイント通信ポート（8013 など）のインターネット公開を止め、社内・特定IPからのアクセスに限定する
- 管理画面へのアクセス元を社内IPに制限し、管理者アカウントにMFAを設定
- これは「時間稼ぎ」であって完治ではない。必ずステップ4へ進む
ステップ4｜正規パッチを適用する（30分〜1時間＋メンテナンス調整）
- 正規の Fortinet Support Portal からのみ、7.4.5/7.4.6向けホットフィックス、または7.4.7以上を入手（※偽パッチに注意。前節参照）
- メンテナンスウィンドウを業務時間外に設定（EMS再起動が伴う場合がある）
- 適用後、バージョンが想定どおりに上がっていることを確認
ステップ5｜侵害の痕跡を確認し、再発防止を設計する（1〜2時間＋継続）
公表前（3月31日〜）から悪用されていた以上、**「もう入られていないか」**の確認まで含めて初めて対応が完了する。次節のIoCチェックリストを使う。そのうえで、二度と場当たり対応にしないために、脆弱性情報の受け取り方・意思決定フロー・報告フォーマットを仕組み化する。
ステップ4まで自社で完結できない、あるいはステップ5の「痕跡確認」に不安がある場合は、この時点で外部の専門家に切り分けを頼むのが正解だ。判断が遅れるほど、偽パッチや二次侵害のリスクが積み上がる。
発注前・対応前チェックリスト（コピーして使える）
自社の状況を、担当者だけで抱え込まず、経営・現場・情シス・外部パートナーで役割分担するためのチェックリストだ。
- FortiClient EMSの利用有無と正確なバージョンを把握しているか（7.4.5/7.4.6か）
- EMSの管理インターフェース／エンドポイントポートがインターネットに公開されていないか確認したか
- パッチを「誰が・いつまでに・どの経路で入手して」当てるか、担当と期限を明文化したか
- 入手経路は正規のFortinet Support Portalに限定したか（偽パッチ対策）
- 保守契約の有無と、その契約範囲に「緊急パッチ適用」が含まれるかを確認したか
- 公表前からの悪用を踏まえ、侵害痕跡（IoC）の確認まで対応範囲に入れたか
- MFA設定・管理画面のアクセス制限など、パッチ以外の防御も見直したか
- 今回の対応を経営に1枚で報告できる状態にしたか（影響範囲・期限・残リスク）
- FortiClient EMSで短期間に脆弱性が連続している事実を踏まえ、次回以降の受け取り体制を決めたか
- EMSの外部公開を続ける構成そのものを、ZTNA等で見直すべきか検討したか
侵害の痕跡（IoC）確認リスト
「パッチを当てた＝安全」ではない。公表前に入られていないかを確認する観点を挙げる。専門知識が要る項目は、外部支援を頼む前提でよい。
横にスクロールして確認できます
| 確認対象 | 見るべきこと |
|---|---|
| EMS管理面のログ | 認証を経ていない不審なAPIリクエスト、「Certificate not found in request header」に続く設定変更 |
| EMSサーバー本体 | 見覚えのないプロセス・サービス・スケジュールタスクの有無 |
| 配下エンドポイント | 身に覚えのないポリシー変更、VPN設定への不審なスクリプト混入 |
| ネットワーク通信 | 外部の不審なIP（例：報告されたC2 83.138.53.110）への通信。※最新IoCは要更新 |
| 資格情報 | ブラウザ保存パスワード・セッションの悪用兆候（EKZ感染を想定し、重要アカウントは念のためパスワード・セッション失効を検討） |
不審な痕跡が一つでも見つかったら、EMSをネットワークから隔離し、証拠を保全したうえでインシデント対応の初動相談を専門家に依頼するのが定石だ。自己流でサーバーを再起動・初期化すると、原因究明に必要なログが消える。
ベンダー・販売代理店に「何を聞くか」（発注前の質問リスト）
中小企業の多くは、Fortinet製品を販売代理店やSIer経由で導入している。ここで陥りがちな失敗が「任せているつもりだったが、緊急パッチは契約範囲外だった」というものだ。契約書を読み直す前に、次の質問を投げるのが早い。
- 当社が使っているFortiClient EMSのバージョンは？ 今回のCVE-2026-35616の対象か？
- 御社の保守契約に、Critical脆弱性の緊急パッチ適用は含まれるか（含まれる場合、SLA上の対応時間は？）
- 含まれない場合、スポットで対応可能か。費用と着手までの時間は？
- EMSがインターネットに公開されている構成になっていないか。なっている場合、なぜその構成か
- 過去1年でこの製品にCritical脆弱性が何件出ているか把握しているか（＝ベンダーの脆弱性追従体制の確認）
- 今後、Critical脆弱性が出た際に誰から・どの経路で通知が来るのか
保守契約がある場合は上記で切り分けが進む。保守契約がない、または窓口が曖昧な場合は、この機会に脆弱性対応やEOL対応を月次で回す運用の外部委託を検討したほうがよい。都度スポットで慌てるより、脆弱性対応やEOL対応を月次で回すセキュリティ顧問（リテイナー）の形にした方が、総コストも心理的負担も下がるケースが多い。
単発パッチで終わらせない——連続する脆弱性と「運用化」の判断
前述のとおり、FortiClient EMSは今回のCVE-2026-35616の数週間前にも別のCritical脆弱性（CVE-2026-21643）が公表され、いずれも悪用が報告された。一つの製品でCriticalが立て続けに出るという事実は、「今回だけ頑張って当てれば終わり」ではないことを示している。
GXOが現場で見てきた失敗パターンは共通している。
- 属人化: 前回のパッチを当てた担当者が異動・退職し、次回の初動が止まる
- 通知の見落とし: 脆弱性情報をどこから受け取るか決まっておらず、SNSやニュースで偶然知る
- 判定の停滞: 「該当するか」の判断ができる人が社内にいないため、様子見しているうちに悪用が拡大
- 証跡不足: 対応した/しなかったの記録がなく、経営や監査に説明できない
これを避けるには、脆弱性対応を「イベント」ではなく「月次の運用」として設計する。具体的には、①外部公開資産の棚卸し（何がインターネットに出ているか）②新規脆弱性の受け取りと自社該当判定 ③対応の優先順位付けと期限管理 ④対応証跡の記録 ⑤経営への月次報告——このサイクルを回す。社内で回せないなら外部と分担する。GXOは単発の診断より、この一連を運用化することを推奨している。
VPN・境界機器のパッチ運用ベストプラクティスと、入替・ZTNA移行の判断
今回のEMSに限らず、VPN・境界機器のセキュリティを日常的に維持するための原則を整理する。
パッチ運用の基本
- ファームウェア／ソフトウェアは最低でも四半期に1回、最新版への更新を検討する
- Critical / Highが出たら72時間以内の適用を目標に、意思決定フローをあらかじめ決めておく
- 更新の入手は必ず正規経路（今回のような偽パッチ攻撃を前提に）
アクセス制御
- 管理画面のアクセス元を社内IPに限定、管理者アカウントにMFA
- インターネットに公開する必要が本当にあるかを、機器ごとに毎回問い直す
- デフォルト認証情報の変更、強固なパスワードポリシー
ログ監視と初動準備
- 不審なログイン試行・異常トラフィックを検知できる体制（SIEM／監視サービス）
- 脆弱性情報の収集元（Fortinet PSIRT、JPCERT/CC、CISA）、パッチ判断の担当、エスカレーション先を事前に定義
機器入替・ZTNA移行の判断基準
以下に複数該当するなら、都度パッチで延命するより構成そのものの見直しを検討したほうがよい。
横にスクロールして確認できます
| 判断基準 | 詳細 |
|---|---|
| サポート終了（EOL） | パッチが提供されない機器を使い続けている |
| 脆弱性の頻発 | 同一製品でCriticalが短期間に連続している（今回のEMSが典型） |
| 常時公開の必要性 | 管理面まで含めて外部に露出している構成が常態化している |
| 運用負荷超過 | パッチ・監視の負荷がIT部門（あるいは兼任者）のキャパを超えている |
入替の選択肢は、新型機器への更新だけではない。ZTNA（ゼロトラストネットワークアクセス）への移行は、VPNの構造的課題（一度入られると社内全体にアクセスされる）を、アプリケーション単位のアクセス制御に置き換える有力な解だ。自社に合う移行の考え方は、VPNからZTNAへの移行と代替ソリューションの比較を参照してほしい。ランサムウェア全般の防御・検知・復旧の全体像は、中小企業のためのランサムウェア対策の実践ガイドにまとめている。
こうした「点の対応」から「面の体制」へ移す検討段階では、現状のリスク評価・ログ分析・権限棚卸しから優先度の高い対策を先に打つ形で、セキュリティ体制の再構築を一緒に設計するのが近道になる。
経営に1枚で報告するためのフォーマット
対応が終わったら（または対応中でも）、経営が意思決定できる形にまとめる。担当者が技術用語で長文報告しても、経営は判断できない。次の5項目に絞る。
- 何が起きたか: FortiClient EMSにCritical脆弱性（CVE-2026-35616）、悪用実績あり
- 自社への影響: 該当バージョンの有無／外部公開の有無／侵害痕跡の有無
- 実施した対応と期限: パッチ適用（済／予定日）、暫定遮断（済）、痕跡確認（済／依頼中）
- 残っているリスク: 未確認事項、偽パッチ経由の二次感染の可能性、他の境界機器の状況
- 次の打ち手: 月次運用化の要否、ZTNA移行の検討、外部支援の要否と概算
このフォーマットは今回だけでなく、次に別の脆弱性が出たときにもそのまま使える。「その都度ゼロから資料を作る」状態を脱すること自体が、セキュリティ運用の成熟だ。
GXOの見解｜相談すべきタイミング
セキュリティのニュースは、話題性の高さで動くと消耗する。GXOが一貫して重視するのは「その脆弱性が、自社の業務・データ・権限・予算・運用責任にどう影響するか」への変換だ。今回のFortiClient EMSの件でいえば、該当確認・暫定遮断・正規パッチ・痕跡確認・再発防止の運用化まで進めて初めて、ニュースが防御力に変わる。
以下のいずれかに当てはまるなら、担当者だけで判断を閉じず、早い段階で外部と役割を分けることを勧める。
- FortiClient EMSの該当有無・バージョンが社内で誰も断言できない
- パッチを「誰が・いつ・どの経路で」当てるかが決まらない、または保守契約範囲が不明
- 公表前からの悪用を踏まえた侵害痕跡の確認に自信がない
- 偽パッチ・情報窃取の可能性を含め、影響範囲を経営に説明できる状態になっていない
- 今回を機に、脆弱性対応をその都度の消耗戦から月次運用へ切り替えたい
GXOは、緊急のパッチ適用・切り分けから、月次での棚卸し・優先順位付け・証跡管理・改善実行までを、単発でも継続でも接続できる形で支援する。「うちのEMSは大丈夫か」を確かめたい段階でも構わない。まずは現状の整理から始めるのが、遠回りに見えていちばん速い。
FAQ（よくある質問）
Q. CVSSは9.1と9.8のどちらが正しいのですか？
どちらも公式です。Fortinet PSIRTが9.1、米NVDが9.8と評価しており、評価主体による解釈差です。実務上はどちらも「Critical」であり、認証不要・リモート・悪用実績ありという条件から対応の緊急度は最上位で確定します。数値の差より「自社が該当するか」を優先してください。
Q. FortiGate（ファイアウォール／VPN）も影響を受けますか？
今回のCVE-2026-35616はFortiClient EMSに限定された脆弱性で、FortiGateは直接の対象ではありません。ただしFortiGateにも過去に複数のCritical脆弱性が報告されており、ファームウェアが最新かは別途確認を推奨します。
Q. 7.2や8.0を使っていますが対応は必要ですか？
本件（CVE-2026-35616）の対象は7.4.5〜7.4.6です。7.2以前・8.0は本件の対象外とされています。ただし他の既知脆弱性の観点から、サポート対象内の最新版を維持することは引き続き推奨されます。
Q. FortiClient Cloud / FortiSASE を使っています。作業は必要ですか？
Fortinetは、FortiClient Cloud と FortiSASE の利用者については**追加の対応は不要（対処済み）**としています。オンプレミスでEMSを運用している場合が対応対象です。
Q. 「Fortinetのパッチ」というメールや案内が届きました。適用してよいですか？
安易に適用しないでください。 本脆弱性を悪用し、修正パッチを装って情報窃取マルウェア（EKZ）を配布する攻撃が報告されています。修正プログラムは正規のFortinet Support Portalからのみ入手し、保守契約がある場合は代理店に正規経路を確認してください。
Q. パッチ適用に業務停止は必要ですか？
EMSの再起動を伴う場合があり、VPN管理が一時的に中断する可能性があります。既存のVPN接続自体は維持されるケースが多いものの、メンテナンスウィンドウを業務時間外に設定して実施するのが安全です。
Q. 社内にIT担当者がいません。どうすればよいですか？
まずFortinet製品を導入した販売代理店・SIerに、バージョン確認と緊急パッチ適用を依頼してください。保守契約がない場合は、ネットワークセキュリティの専門業者にスポットで依頼できます。恒常的に不安が残るなら、月額で脆弱性対応・棚卸しを代行する伴走型の運用委託が現実的です。
Q. すでにパッチを当てました。もう安全と考えてよいですか？
パッチは「今後の悪用を防ぐ」ものですが、公表前（3月31日〜）に侵入されていた可能性は消えません。侵害痕跡（IoC）の確認まで行って初めて対応完了です。痕跡確認に不安があれば専門家へ相談してください。
この記事のペルソナ適合チェック
- 対象セグメント: 年商1〜10億円規模の成長中小企業で、社内にIT専任がいない（または兼任情シス）経営者・事業責任者・実務決裁者。
- 失敗トリガー（経営者が知らない落とし穴）: ①自社のEMSバージョンを誰も把握していない ②EMSがインターネットに公開されている構成に気づいていない ③保守契約範囲に緊急パッチが含まれるか未確認 ④焦って偽パッチをつかむ ⑤パッチ後の痕跡確認を省く。
- 診断価値: 5ステップ手順、発注前チェックリスト、IoC確認表、ベンダー質問リスト、経営報告1枚テンプレ、CVSSの読み方という判断軸を提供。
- GXO着地導線: 現状整理 → セキュリティ体制の再構築（/security）／月次運用の外部委託（/service/security-retainer）／侵害時の初動（/security/incident-response）。
参考情報（一次・公式ソースを優先）
- Fortinet PSIRT アドバイザリ FG-IR-26-099（一次）: https://fortiguard.fortinet.com/psirt/FG-IR-26-099
- NVD CVE-2026-35616 Detail（一次）: https://nvd.nist.gov/vuln/detail/CVE-2026-35616
- 米CISA Known Exploited Vulnerabilities（KEV）Catalog（一次）: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- 警察庁「サイバー空間をめぐる脅威の情勢等について」（一次・ランサムウェア感染経路統計）: https://www.npa.go.jp/publications/statistics/cybersecurity/index.html
- Arctic Wolf（偽パッチ／EKZ infostealer 調査・二次）: https://arcticwolf.com/resources/blog/forticlient-ems-exploited-via-cve-2026-35616-to-deliver-ekz-infostealer-disguised-as-a-fortinet-patch/
- Horizon3.ai（技術分析・露出インスタンス数・二次）: https://horizon3.ai/attack-research/vulnerabilities/cve-2026-35616/
- Tenable（悪用状況・二次）: https://www.tenable.com/blog/cve-2026-35616-fortinet-forticlientems-improper-access-control-vulnerability-exploited-in-the
※ 制度・価格・仕様・脆弱性・法務・セキュリティに関する判断は、必ず公開時点の公式情報・一次情報を確認したうえで行ってください。深刻度スコアや対応期限は出典により差異があるため、本文では出典区分を明記しています。IoC（痕跡情報）は時間とともに変化します。最新情報は各公式ソースおよび自社の監視環境で更新してください。
