8万6644台という規模

JPCERT/CCが2026年6月23日に公表した「FortiBleed」は、世界194カ国で8万6644台以上のFortiGate機器の認証情報が流出したという注意喚起です。単一組織のインシデントというより、社会インフラ規模の情報漏えいと呼べる規模で、国内企業に関連する情報が含まれることも確認されています。

原因は「使い回された鍵」

今回の直接の原因は新しい脆弱性の悪用ではなく、過去の別インシデントで窃取された認証情報の再利用です。設定ファイルの流出によって管理者パスワードのハッシュ値(SHA256)がオフラインで解析可能な状態になっており、実際にActive Directory環境でのKerberos・NTLM認証情報が窃取された事例も報告されています。過去の情報漏えいが何年も後まで尾を引く典型例だと言えます。

Log4Shellと重なる怖さ

数年前のLog4Shellも、脆弱性そのものより「どこまで影響が及んでいるか把握できない」ことが対応を難しくしました。今回のFortiBleedも、境界防御機器という性質上、侵入経路として悪用されると被害が社内全体へ広がりやすく、把握と対応のスピードが問われます。JPCERT/CCは設定エクスポート痕跡の確認、認証情報のローテーション、多要素認証の有効化、PBKDF2対応版FortiOSへの更新を推奨しており、対象になりうる組織はJPCERT/CCの注意喚起を早めに確認しておきたいところです。