概要
認証なしで、利用者に操作させることで、不正なコードやコマンドを実行されるおそれ。
元の説明（英語）を読む
A origin validation error vulnerability in Fortinet FortiClientMac 7.4.0 through 7.4.7, FortiClientWindows 7.4.0 through 7.4.7, FortiClientWindows 7.2.0 through 7.2.14, FortiClientWindowsPAM 7.4.7, FortiClientWindowsPAM 7.2.14 may allow an unauthorized remote attacker to execute unauthorized code or commands. Successful exploitation requires interaction with the victim.
影響を受ける人
FortiClient の Windows 版 7.2・7.4 系、Mac 版 7.4 系の利用者
対策
- ベンダーの告知を確認する
国内の動き
本文に同じ CVE 番号のある国内の注意喚起・報道は、まだ無い。
海外の動き
本文に同じ CVE 番号のある海外の注意喚起・報道は、まだ無い。
PoC
リンクだけを載せる。中身は確かめていない。
偽物やマルウェア入りが混じる（GitHub の PoC の 1.9〜10.3% に悪意の兆候があったという研究がある）。動かすのは、自分の検証用の環境で、中身を読んでからにする。他人のシステムに向けない。
googlesky/CVE-2026-121529↗★ 0 · 11/11 作成 · 攻撃コードらしいContainerised PoC for CVE-2026-121529 (FG-IR-26-194): a FortiClient local API origin validation error (CWE-346) that lets a malicious web page drive the victim's own browser into code execution as thegooglesky/Fortinet2Shell↗★ 0 · 11/11 作成 · 攻撃コードらしいFortinet2Shell — containerised PoC for CVE-2026-121529 (FG-IR-26-194): a FortiClient local API origin validation error (CWE-346) that lets a malicious web page drive the victim's own browser into codeGhost-Bx1/cve-2026-121529-forticlient-cors-rce↗★ 0 · 11/11 作成 · 攻撃コードらしいCVE-2026-121529 - FortiClient CORS RCE (CVSS 9.1)tc4dy/CVE-2026-121529-Toolkit↗★ 4 · 11/13 作成 · その他CVE-2026-121529 - FortiClient Local API Origin Validation Error (CVSS 9.6). Red/Blue Team suite with 2 tools: Full Exploit (RCE via CORS, browser payload server, interactive shell, mass scan, enum, chashrafzaryouh/CVE-2026-121529↗★ 1 · 11/11 作成 · その他CVE-2026-121529
経過
2026年11月10日・一次情報
脆弱性が公開された
2026年11月11日・PoC
GitHub に PoC が出た（未検証）（Bluesky で元の投稿に返信）
影響する版
Fortinet FortiClientMac範囲は告知を確認
Fortinet FortiClientWindows範囲は告知を確認
Fortinet FortiClientWindowsPAM範囲は告知を確認