Fortinet FortiClient EMS にSQLインジェクション（CVE-2026-21643）― 未認証で任意コード実行、端末管理サーバが標的・CVSS 9.8
エンドポイント管理サーバ Fortinet FortiClient EMS に、SQLインジェクション(CWE-89)の脆弱性。細工したHTTPリクエストにより、未認証の攻撃者が不正なコードやコマンドを実行しうる。NVDに掲載されたCVSSは9.8（CRITICAL）。CISAが2026年4月13日にKEVへ追加、是正期限4月16日＝3日後。
脆弱性の基本情報
- CVE番号CVE-2026-21643
- CVSS基本値9.8 CRITICAL
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- 対象（ベンダー／製品）Fortinet FortiClient EMS
- CWECWE-89
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-04-16（米連邦民生機関・BOD 22-01）
要点
SQLインジェクションとは、データベースへの問い合わせ（SQL）を組み立てる処理に、攻撃者が入力を通じて不正なSQL断片を紛れ込ませ、本来意図しない操作をデータベースに行わせる古典的かつ危険な脆弱性だ。入力の検証・無害化が不十分だと、認証を回避したり、データを抜き取ったり、時にはサーバ上でコマンドを実行させたりできる。
本件はこれが Fortinet FortiClient EMS 上で、しかも未認証（ログイン不要）で成立しうるとされる点が深刻で、ベクトルの PR:N・UI:N がそれを裏づける。
対象が「エンドポイント管理サーバ（EMS）」であることが重要だ。EMSは、組織内の多数の端末に導入されたセキュリティソフト(FortiClient)を一元管理する司令塔にあたる。その司令塔を未認証で乗っ取られれば、管理下の端末群への波及が懸念される――守りの中枢が攻撃の入口になる構図だ。Fortinet製品は境界・管理を担うことからKEVの常連であり、本件もその一つに連なる。
NVDに掲載されたCVSSは9.8（CRITICAL）と最高水準で、未認証・遠隔・利用者操作不要という条件がそろう。CISAが是正期限を追加からわずか3日後に設定したことは、悪用の切迫度の高さを示す。対応はFortinetの案内に従った速やかな更新である。
なぜ重要か
エンドポイント管理サーバは組織の防御の中枢であり、未認証のコード実行を許せば管理下の端末群への波及が懸念される。NVD掲載のCVSSは9.8（CRITICAL）で、未認証・遠隔・利用者操作不要と悪用条件がそろう。CISAが3日の是正期限を課したことは切迫度を示し、Fortinet運用組織はFortinetの案内に沿った更新を最優先で講じるべきである。
よくある質問（FAQ）
SQLインジェクションとは何ですか。
なぜエンドポイント管理サーバが狙われると深刻なのですか。
何をすべきですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。