概要
認証なしで、細工した HTTP 要求により不正な命令を実行されるおそれ。
元の説明（英語）を読む
A improper encoding or escaping of output vulnerability in Fortinet FortiAnalyzer 8.0.0 through 8.0.2, FortiAnalyzer 7.6.0 through 7.6.7, FortiAnalyzer Cloud 8.0.1 through 8.0.2, FortiAnalyzer Cloud 7.6.0 through 7.6.7, FortiAnalyzer-BigData 7.6.0 through 7.6.2, FortiManager 8.0.0 through 8.0.2, FortiManager 7.6.0 through 7.6.7, FortiManager Cloud 8.0.1 through 8.0.2, FortiManager Cloud 7.6.0 through 7.6.7 may allow an unauthenticated attacker to execute unauthorized code or commands via a specially crafted HTTP request
影響を受ける人
JSON API を有効にした FortiManager・FortiAnalyzer の管理者
対策
- ベンダーの告知を確認する
- JSON API は既定で無効。有効にしているか確認する
国内の動き
本文に同じ CVE 番号のある国内の注意喚起・報道は、まだ無い。
海外の動き
本文に同じ CVE 番号のある海外の注意喚起・報道は、まだ無い。
PoC
リンクだけを載せる。中身は確かめていない。
偽物やマルウェア入りが混じる（GitHub の PoC の 1.9〜10.3% に悪意の兆候があったという研究がある）。動かすのは、自分の検証用の環境で、中身を読んでからにする。他人のシステムに向けない。
Ghost-Bx1/cve-2026-126170-fortimanager-jsonrpc-rce↗★ 0 · 11/11 作成 · 攻撃コードらしいCVE-2026-126170 - FortiManager JSON-RPC RCE (CVSS 9.8)googlesky/CVE-2026-126170↗★ 0 · 11/12 作成 · 攻撃コードらしいContainerised PoC for CVE-2026-126170 (Fortinet FG-IR-26-219): a JSON injection (CWE-116) in the FortiManager/FortiAnalyzer JRPC API lets an unauthenticated crafted request reach command execution andfoxcornlab/fortinet-scanner↗★ 0 · 11/13 作成 · その他Detection-only triage for the Fortinet November 2026 PSIRT batch: CVE-2026-126170 (9.8), CVE-2026-126254 (9.6), CVE-2026-126253 (9.3), CVE-2026-126262 (9.3), CVE-2026-126229 (9.1), CVE-2026-126261 (9.
経過
2026年11月11日・一次情報
脆弱性が公開された
2026年11月11日・PoC
GitHub に PoC が出た（未検証）（Bluesky で元の投稿に返信）
影響する版
Fortinet FortiManager範囲は告知を確認
Fortinet FortiAnalyzer範囲は告知を確認
Fortinet FortiManager Cloud範囲は告知を確認
Fortinet FortiAnalyzer Cloud範囲は告知を確認
Fortinet FortiAnalyzer-BigData範囲は告知を確認