CVE

認証なしで、細工した通信を送られ、コードやコマンドを実行されるおそれ。

SQL インジェクション。対象は FortiAnalyzer。

CVE-2026-126262EUVD-2026-123908GHSA-FRX4-VQJX-M6CM要確認

一言・影響を受ける人・対策は AI（sonnet）が元の説明文から作成。版の番号などは元の文と機械で照合した。対応の前に元の告知を確かめてほしい。誤りに気づいたら運営者へ。

CVSS

9.3

Critical

CNA

悪用

未確認

CISA の一覧には無い

PoC

見つかっていない

11/13 時点

修正

未確認

ベンダーの告知を確認

国内

まだ無い

同じ CVE 番号の記事を待っている

まずやること：ベンダーの告知を確認する

公開

2026年11月11日

最終更新

2026年11月13日

優先度の理由

重大（PoC 未公開）

最終確認

2026年11月13日

EPSS

0.63%

PoC

見つかっていない

攻撃の条件

ネット越し・ログイン不要・相手の操作は要らない

国内

まだ無い

概要

認証なしで、細工した通信を送られ、コードやコマンドを実行されるおそれ。

元の説明（英語）を読む

A improper neutralization of special elements used in an sql command ('sql injection') vulnerability in Fortinet FortiAnalyzer 8.0.0 through 8.0.1, FortiAnalyzer 7.6.0 through 7.6.7, FortiAnalyzer 7.4.0 through 7.4.11, FortiAnalyzer 7.2.0 through 7.2.12, FortiManager 8.0.0, FortiManager 7.6.0 through 7.6.7, FortiManager 7.4.0 through 7.4.11, FortiManager 7.2.0 through 7.2.12 may allow an unauthenticated attacker who has access to the oftp port to execute code or command on the system via crafted OFTP packets.

影響を受ける人

oftp ポートに届く FortiAnalyzer・FortiManager の管理者

対策

ベンダーの告知を確認する

国内の動き

本文に同じ CVE 番号のある国内の注意喚起・報道は、まだ無い。

海外の動き

本文に同じ CVE 番号のある海外の注意喚起・報道は、まだ無い。

PoC

公開されている PoC は、まだ見つかっていない。

経過

2026年11月11日・一次情報

脆弱性が公開された

影響する版

Fortinet FortiAnalyzer範囲は告知を確認

Fortinet FortiManager範囲は告知を確認