FortiGateのWAN側設定チェックリスト｜管理アクセス・VPN・ファームウェアを実機で確認

セキュリティ

あなたのFortiGateは大丈夫でしょうか。

2026年1月には、FortiCloud SSOの認証回避の脆弱性（CVE-2026-24858）が実際に悪用され、外部からFortiGateに管理者としてログインされる被害が出ました。2月にもAgentless VPNとFSSOでのLDAP認証回避（CVE-2026-22153）が修正されています。

こうした脆弱性は、パッチを当てるまでの間に「WAN側に何を見せているか」で被害の大きさが変わります。管理画面やVPNの入口をインターネットに出していなければ、そもそも狙われる場所が減るからです。

この記事では、ネットワークエンジニア（以下、NE）として普段見ているポイントを、FortiGate 60F（FortiOS 7.6.6）の実機画面で確認していきます。危ない設定例はあえて載せず、「こうなっていればOK」という正しい状態だけを見せます。自分の画面と見比べながら読んでください。

※撮影に使っているのは検証用の60Fです。

1 結論：WAN側で確認したい5項目
2 ① WANインターフェースの管理者アクセスはすべてオフ
3 ② 管理者アカウントは二要素認証と信頼済みホスト
4 ③ FortiCloud SSOは使っていなければオフ
5 ④ SSL-VPNは残っていないか
6 ⑤ ファームウェアはサポート中のバージョンか
7 まとめ

結論：WAN側で確認したい5項目

#	確認する項目	こうなっていればOK
1	WANインターフェースの管理者アクセス	HTTPS・SSH・PINGを含め、すべてオフ
2	管理者アカウント	二要素認証がON、信頼済みホストを管理用セグメントだけに制限
3	FortiCloud SSO	使っていなければオフ
4	SSL-VPN	7.6.3以降は項目自体がない。7.4系なら使っていないか確認
5	ファームウェア	サポート中のバージョンで、更新があれば計画的に上げる

順番に見ていきます。

① WANインターフェースの管理者アクセスはすべてオフ

最初に見てほしいのが、WAN側インターフェースの「管理者アクセス」です。ここにチェックが入っていると、そのプロトコルでFortiGate自身にインターネットから接続できてしまいます。

確認する場所（GUI）
ネットワーク > インターフェース > wan1 を開き、「管理者アクセス」欄を見ます。

FortiGate 60Fのwan1インターフェース編集画面。管理者アクセスはすべてオフ

HTTPS、SSH、FMGアクセスはもちろん、PINGもオフにしておくのがおすすめです。PINGが返るだけで「ここに機器がある」と外から分かるからです。

ただし業務では、回線業者の監視のためにWAN側のPINGを求められることがあります。その場合も、Local Inポリシーで送信元を業者の監視サーバーに絞り、誰からでも応答する状態にはしないようにします。

CLIで確認する場合

show system interface wan1

出力に set allowaccess の行がなければ、何も許可されていない状態です。行がある場合は、そこに並んでいるプロトコル（https ssh ping など）が開いています。

② 管理者アカウントは二要素認証と信頼済みホスト

管理者アクセスを閉じていても、内側からのログインや、設定ミスで開いてしまったときの備えとして、管理者アカウント自体も固めておきます。業務で使う機器なら、二要素認証と信頼済みホストは必須と考えてください。

確認する場所（GUI）
システム > 管理者から対象の管理者を開きます。

FortiGateの管理者編集画面。二要素認証がONで、信頼されるホストが管理用セグメントに制限されている

二要素認証：ONにして、FortiTokenなどを設定します。パスワードが漏れても、それだけではログインできなくなります。
信頼されるホスト：管理用の端末があるセグメント（例：192.168.1.0/24）だけを登録します。

注意点が1つあります。信頼されるホストに0.0.0.0/0 を入れると「どこからでも可」と同じで、制限になりません。トグルがONになっているだけで安心せず、中の値まで確認してください。

また、自分の端末のセグメントを入れ忘れると、自分自身が締め出されます。設定を変えるときは、コンソールケーブルでも入れる状態にしてから作業すると安全です。

ユーザー名がデフォルトの「admin」のままなら、業務では別の名前の管理者を作り、adminは使わない運用にするのがおすすめです（撮影した検証機はadminのままです）。

CLIで確認する場合

show system admin

set trusthost1 に管理用セグメントが入っているか、set two-factor が設定されているかを見ます。

③ FortiCloud SSOは使っていなければオフ

冒頭で触れたCVE-2026-24858は、FortiCloudのアカウントでFortiGateの管理画面にログインする「FortiCloud SSO」の仕組みが悪用されたものでした。この機能を使っていないなら、オフにしておけば同じ種類の問題の影響を受けにくくなります。

確認する場所（GUI）
システム > 設定の「シングルサインオン」欄にある「FortiCloud SSO」を見ます。

FortiGateのシングルサインオン設定。FortiCloud SSOのトグルがオフ

CLIで確認する場合

show full-configuration system global | grep forticloud-sso

set admin-forticloud-sso-login disable になっていればオフです。

④ SSL-VPNは残っていないか

SSL-VPNは、これまで多くの攻撃の入口になってきた機能です。

FortiOS 7.6.3以降では、SSL-VPNのトンネルモードが全モデルで廃止され、リモートアクセスはIPsec VPNを使う形になりました。さらに60Fでは、Webモード（7.6.3以降の名前はAgentless VPN）も使えません。

確認する場所（GUI）
システム > 表示機能設定を開きます。7.6.6の60Fでは、VPNの項目はIPsec VPNだけで、SSL-VPNの項目自体がありません。

一方、7.4系ではまだSSL-VPNが使えます。7.4系を使っている場合は次の2点を確認してください。

使っていないなら、SSL-VPNの設定が残っていないか（待ち受けインターフェースにWANが指定されたままになっていないか）
使っているなら、7.6系に上げる前にIPsec VPNへの移行計画を立てているか

7.4系から7.6.3以降に上げると、SSL-VPNトンネルモードの設定は引き継がれずに消えます。移行を済ませないまま上げると、リモートアクセスが突然使えなくなるので注意が必要です。

⑤ ファームウェアはサポート中のバージョンか

最後はファームウェアです。どれだけ設定を固めても、修正済みの脆弱性が残ったままでは意味がありません。

確認する場所（GUI）
システム > ファームウェア&登録を開くと、今のバージョンと、新しいバージョンが出ているかどうかが分かります。

FortiGateのファームウェア&登録画面。現在のバージョンと利用可能な新バージョンが表示されている

撮影した検証機は7.6.6で、7.6.8が利用可能と表示されています。7.6.8は、2026年10月22日に重大度Critical／Highの脆弱性をまとめて修正したバージョンで、詳細は11月10日に公表される予定です。検証機のため今はこのままにしていますが、業務で使っている機器なら、この表示が出たら計画を立てて上げます。

CLIで確認する場合