FortiGateのファームウェアを更新しないと
何が起きるか

FortiGateはVPNやファイアウォールとして中小企業にも広く使われているネットワーク機器です。しかし「導入してからずっとそのまま」という会社が少なくありません。ファームウェアを更新しないと、攻撃者が既知の脆弱性を使って社内ネットワークに無音で侵入できる状態になります。本記事では、なぜ更新が必要なのか、そして具体的な手順を解説します。

「古いFortiGate」が世界中で狙われている

FortiGateを製造するFortinet社は、定期的にセキュリティパッチを含むファームウェアをリリースしています。問題は、そのパッチが公開された直後から、攻撃者が「パッチで修正された脆弱性を持つ古い機器」を自動スキャンで探し始めることです。

これらの脆弱性は、パッチが公開されれば「修正方法」が公になるのと同時に、「攻撃方法」も広まります。つまりパッチを適用していない機器は、攻撃ツールが出回った直後から無防備になるのです。

放置するとどうなるか——侵入から被害までの流れ

FortiGateのVPN脆弱性を突いた攻撃は、多くの場合「静かに」始まります。派手なエラーや警告が出るわけではなく、気づいたときにはすでに内部ネットワークへのアクセスが確立されていることがほとんどです。

• 1

  自動スキャンで脆弱な機器を発見

  Shodan等のツールで古いFortiGateが検出される。ファームウェアバージョンから既知の脆弱性が特定される。

• 2

  VPN経由で内部ネットワークへ侵入

  認証をバイパスするか、盗んだ認証情報を使ってVPN接続を確立。社内LANと同等のアクセス権を得る。

• 3

  内部を探索・権限を拡大

  ファイルサーバー、Active Directory、バックアップサーバーを探索。管理者権限の奪取を試みる。この段階で数日〜数週間潜伏する場合がある。

• 4

  ランサムウェア展開または情報窃取

  準備が整ったタイミングで一斉にファイルを暗号化、または顧客データ・設計情報を外部に送信。このとき初めて被害に気づくケースが大半。

まず現在のバージョンを確認する

更新作業の前に、今どのバージョンが動いているかを確認します。管理画面（GUI）からすぐに確認できます。

• 1

  管理画面にログイン

  ブラウザで FortiGate の管理IPアドレス（例：192.168.1.99）にアクセス。管理者アカウントでログインする。

• 2

  ダッシュボードでバージョンを確認

  ログイン直後のダッシュボードに「System Information」ウィジェットがあり、「Firmware Version」にFortiOSのバージョンが表示される（例：FortiOS 7.2.8）。

• 3

  Fortinet公式サポートサイトで最新版を確認

  support.fortinet.com にアクセスし、ご利用の機種の最新ファームウェアを確認する。現在動いているバージョンと比較して、差が大きければ早急な更新が必要。

サポートが終了したバージョンはセキュリティパッチが提供されないため、脆弱性が発見されても修正されません。FortiOS 6.x以前を使用している場合、ファームウェア更新ではなく機器の世代交代が必要です。

ファームウェア更新の基本手順

• 1

  コンフィグのバックアップ

  管理画面上部メニュー「Admin」→「Configuration」→「Backup」からコンフィグファイルをダウンロードして保存する。

• 2

  ファームウェアファイルのダウンロード

  support.fortinet.com にログインし、対象機種・バージョンのファームウェアファイル（.out形式）をダウンロードする。FortiCareサポート契約が有効であること。

• 3

  GUIからファームウェアをアップロード

  管理画面「System」→「Firmware」→「Upload」からダウンロードした.outファイルをアップロードする。確認ダイアログが表示されたら「OK」をクリック。

• 4

  再起動・動作確認

  FortiGateが自動的に再起動する（数分かかる）。再起動後、管理画面にアクセスしてバージョンが変わったことを確認。VPN接続・インターネット疎通を確認する。

更新を「習慣化」するための3つのポイント

一度更新すれば終わりではありません。FortiGateのファームウェアは年に数回リリースされます。継続的に管理するための仕組みを作ることが重要です。

① Fortinet PSIRTのアラートを受け取る

Fortinet PSIRT（Product Security Incident Response Team）のサイトで脆弱性情報を公開しています。メール通知を設定するか、担当者が月1回確認するルールを決めておくと見落としを防げます。重大度「Critical」の脆弱性が出た際は緊急対応が必要です。

② 年1回以上のスケジュール更新

重大な脆弱性がなくても、年に1〜2回は計画的にファームウェアを更新することを推奨します。バグ修正・安定性改善・新機能が含まれており、セキュリティ以外のメリットもあります。

③ サポート終了日を把握する

FortiGate本体（ハードウェア）にも製品サポート終了日があります。サポートが切れた機器はファームウェアの提供も終わります。「あといつまで使えるか」を把握して、機器更改の計画を立てておくことが中長期的なリスク管理につながります。

まとめ——FortiGateは「買ったら終わり」ではない

• FortiGateのファームウェア脆弱性は世界的に積極悪用されており、放置は高リスク
• 攻撃者はスキャンツールで古いバージョンを自動検出する——「気づかれない」は幻想
• まず現在のバージョンを確認し、最新版との差を把握することが第一歩
• 更新作業は業務時間外・コンフィグバックアップ後に実施する
• IT業者任せの場合、「更新が契約範囲に入っているか」を明示的に確認する
• 年1〜2回の定期更新とサポート終了日の把握を習慣化する