FortiGate 60F CLIチートシート｜GUIが落ちても困らないdiagnose・execute逆引き【FortiOS 7.6/8.0】

2026年10月22日、Fortinetは、FortiOSの重大度Critical／Highの脆弱性をまとめて修正したバージョン（7.6.8、8.0.2など）を公開しました。脆弱性の詳細は11月10日に公表される予定で、それまでは中身が分からないまま更新を急ぐ必要があります。その9日前、10月13日にもFortinetはFortiOSのHTTPS管理画面（GUI）を、認証なしでサービス停止に追い込める脆弱性を公表しています（FG-IR-26-181）。もし管理画面が応答しなくなったら、そのときに頼れるのはSSHかコンソールから叩くCLIだけです。

6月に大きく報じられたFortiBleed（FortiGateの認証情報が大量に出回った件）でも、Fortinetが最初に求めたのは「管理者セッションを切る」「見覚えのないアカウントを探す」といった点検でした。どれもCLIなら数行で終わる作業です。ネットワークエンジニア（以下、NE）として現場でFortiGateを触っていても、本当に困ったときに効くのはdiagnose系・execute系のコマンドだと感じます。

この記事は、自宅ラボのFortiGate 60F（FortiOS 7.6系）を前提に、「GUIではできない・GUIより確実にできる」作業だけを逆引きで集めたチートシートです。状態確認／通信トラブルの切り分け／セキュリティ点検／セッション・ログ操作／バックアップとアップグレードの5つに分けています。情報は2026年10月25日時点のものです。

60Fの構築がまだの方は、先にFortiGate 60F 初期設定の記事からどうぞ。

2026年秋、FortiGateのCLIを手元に置いておくべき理由

今年のFortiGateまわりは、GUIの外で動ける力が試される出来事が続きました。

AIが見つけた脆弱性の一斉修正（10月22日）

10月22日の修正版は、FortinetによればAIを使った社内のセキュリティテストで見つかった脆弱性を初めてまとめて直したリリースです。修正版はFortiOS 8.0.2、7.6.8、7.4.13、7.2.14以降で、FortiManagerやFortiAnalyzerも同時に更新されています。公表時点で悪用は報告されていませんが、CVEなどの詳細は11月10日まで伏せられます。

Fortinetは、攻撃側もAIで修正前後の差分を解析し、短時間で攻撃コードを作れるようになっていると警告しています。インターネット側に管理画面を出している機器から優先して更新し、すぐに上げられない場合は管理アクセスの制限やMFAで時間を稼ぐ、というのが公式の推奨です。この記事の公開時点（11月1日）は、まさに「詳細公表前に上げ切る」期間の中にあります。

GUIを止められる脆弱性（FG-IR-26-181）

10月13日公表の脆弱性は、細工したHTTPリクエストで管理画面を停止させられるものです。CVSSは6.7（Medium）で、公表時点で悪用は確認されていません。この脆弱性自体は7.6.7と8.0.1で直っていますが、10月22日の修正を含めると、7.6系なら7.6.8以降、8.0系なら8.0.2以降が今の目安です。4月にこのブログで7.6.6へ上げる手順を紹介しましたが、その7.6.6も対象に入っています。まずは get system status で自分のバージョンを確認してください。

FortiBleed後に求められた「点検」

FortiBleedについてFortinetは、新しい脆弱性ではなく、過去に漏れた認証情報の使い回しや、MFAなし・弱いパスワードの機器への総当たりが原因だと説明しています。そのうえで、セッションの切断、パスワード変更、MFAの有効化、見覚えのないアカウントの確認を推奨しました。経緯はFortiBleedの解説記事にまとめています。パッチを当てただけでは終わらないというのが今年の大きな教訓で、点検作業そのものはCLIのほうが速く確実です。

FortiOS 8.0でGUIは便利に、CLIの読み方はむしろ大事に

3月に発表されたFortiOS 8.0は、AI利用の可視化・制御や耐量子暗号を前面に出したリリースです。60Fも8.0.0のリリースノートで対応機種に含まれています。一方で、CLIリファレンスを見ると、8.0.0にあった config llm 系の設定が8.0.1で削除されるなど、マイナーアップデートでもコマンド体系が動いています。GUIやAIアシスタントが何をしているかを確かめるにも、結局はCLIの出力を読めることが前提になります。耐量子暗号の話はFortiGateのPQC移行の記事で詳しく扱っています。

この記事の前提と使い方

前提は以下のとおりです。

• 機種：FortiGate 60F（自宅ラボ実機）
• ファームウェア：FortiOS 7.6系（8.0系でも基本は同じだが、細部はリリースノートで要確認）
• 接続方法：SSH（コンソールケーブルでも同じコマンドが使えます）

コマンド表は「やりたいこと」→「コマンド」→「補足」の順です。diagnose系は参照が中心ですが、execute系には再起動や初期化など戻せない操作が含まれます。補足に「要注意」とある行は、本番機ではバックアップ取得後に実行してください。

FortiOSのCLIは省略入力ができ、diagnose sys session stat は diag sys session stat でも通ります。本記事では正式表記で統一します。なお、60Fのようなメモリ2GBのモデルでは、SSL VPNはすでに使えません。リモートアクセスはIPsec VPNが前提になります。

状態確認：GUIより深い情報をCLIで取る

ダッシュボードでは「CPUが高い」ことまでは分かっても、どのプロセスが原因かまでは追えません。そこから先はCLIの出番です。

通信トラブルの切り分け：debug flowとパケットキャプチャ

「通信が通らない」ときの二大武器がdebug flowとパケットキャプチャ（sniffer）です。debug flowは、FortiGateがそのパケットをどのポリシーで許可・破棄したかを内部処理のレベルで見せてくれます。GUIのログに「Deny」の1行しか出ない場面でも、理由まで追えます。

切り分けの順番は「状態確認 → debug flow → sniffer →（VPNなら）IKEのdebug」が基本です。

セキュリティ点検：FortiBleed後に見直したいCLI

今年いちばん追加したかったのがこのカテゴリです。Fortinetが示した点検項目を、CLIで実行できる形に置き換えました。GUIに入れない、あるいはGUI自体を信用しきれない状況でも同じ手順で確認できます。

Fortinetは、見覚えのない設定変更やアカウントが見つかった場合はその機器を侵害済みとして扱うよう求めています。設定を直して終わりにせず、正常時のバックアップとの比較や、AD・LDAP連携先の確認まで進めてください。VPN機器全般が狙われる背景は狙われるVPN機器の記事でも整理しています。

セッション・ログ操作：CLIだけの強制操作

既存セッションの強制切断は、ポリシー変更をすぐ反映させたいときの定番作業です。条件を絞って切る操作はCLIのほうが確実です。ログもGUIのほうが見やすいものの、SSHしか届かない障害時にはCLIでの閲覧が頼りになります。

バックアップとアップグレード：前後で必ず叩くexecuteコマンド

10月の一斉修正のように「詳細が出る前にすぐ上げる」場面が増えています。上げる前の退避と、失敗したときの戻し方をセットで覚えておくと、慌てずに済みます。

8.0系への移行を考えている場合は、リリースノートの「Changes in CLI」「Removed CLI commands」を必ず読んでからにしてください。前述のとおりマイナーアップデートでもコマンドが消えることがあり、古い設定が読み込めずに一部だけ反映される事故につながります。7.6系はサポート期間が長く残っているので、検証機で8.0を試しつつ、本番は7.6.8以降で固めるのが現実的だと考えています。

まとめ：GUIが使えない日に備えて

本記事では、FortiGate 60F（FortiOS 7.6系）で使う「GUIでできない・GUIより確実」なCLIコマンドを5つのカテゴリで逆引きできるようにまとめました。2026年は認証情報の大量流出、GUIを止める脆弱性、AIが見つけた脆弱性の一斉修正と、CLIで動ける力が試される一年でした。

まずは次の3つから試してみてください。

• get system status でバージョンを確認し、7.6.8（8.0系は8.0.2）より前なら更新を計画
• get system info admin status と show system admin で管理者まわりを点検
• execute backup config で「正常な状態」のコンフィグを残しておく

関連記事もあわせてどうぞ。

• FortiGate 60F 初期設定：これから60Fを構築する方向け
• FortiGate 60F ファームウェアアップグレード：切り戻しコマンドとセットで読むと安心です
• FortiBleedの解説：今年の認証情報流出の経緯と対策

このチートシートは、実機で検証するたびに追記していきます。ブックマークして現場でお使いください。意見や追加してほしいコマンドがあれば、Xの@ponflogまでお気軽にどうぞ。

WAN側で開けてはいけない設定は、実機画面を使ってチェックリストにまとめています。

👉 FortiGateのWAN側設定チェックリスト｜管理アクセス・VPN・ファームウェアを実機で確認