FortiOS 更新後の設定消失｜Bug ID 1277454 の回避手順

はじめに

FortiOS のアップグレードは、脆弱性対応や不具合修正のために定期的に実施する作業です。その一方で、特定のバージョン間の更新に限って config system global 配下の一部設定が更新後に残らない事象が Fortinet から公開されています。Bug ID 1277454 として管理されている既知不具合です。

対象になるのは、FortiOS 7.4.11 から 7.4.12、または FortiOS 7.6.6 から 7.6.7 GA へのアップグレードのうち、web-svc-auto-restart が有効になっている環境です。すべての FortiOS アップグレードで設定が消失するわけではなく、特定の 2 経路と当該設定の組み合わせが条件になります。

hostname が既定値へ戻る、管理下の FortiSwitch がオフライン表示になる、管理アクセスが変わるといった影響が公式記事で示されています。対象経路の更新を計画している場合と、すでに更新して設定の変化を調査している場合の双方で、確認すべき内容を整理します。

結論として、対象経路に該当する場合は、アップグレード直前に web-svc-auto-restart を一時的に無効化し、更新完了後に再度有効化する回避策が Fortinet から示されています。これとは別に、通常のアップグレード作業と同様、復元可能なコンフィグバックアップの取得、更新前後の設定比較、代替管理経路の確保を準備します。修正については、FortiOS 7.4.13、7.6.8、8.0.1 に含まれると Fortinet Community に記載されています。

Bug ID 1277454 の概要と対象条件

Bug ID 1277454 は、FortiOS のアップグレード後に config system global 配下の設定の一部が引き継がれない不具合です。Fortinet Community の Troubleshooting Tip として 2026 年 8 月 17 日に公開され、FortiOS 7.6.7 の Release Notes にも Known Issues として掲載されています。

発生条件と web-svc-auto-restart の関係

Fortinet は、原因を config system global 配下の web-svc-auto-restart が有効になっている状態としています。

参考: Fortinet Community
“The issue has been identified as caused by the configuration ‘web-svc-auto-restart’ set to enabled.”
（この問題は、web-svc-auto-restart が有効に設定されていることが原因と特定されています。）
https://community.fortinet.com/fortigate-3/troubleshooting-tip-partial-configuration-loss-after-upgrade-from-fortios-v7-4-11-and-fortios-v7-6-6-229443

web-svc-auto-restart は、Node.js プロセスのメモリ使用量が閾値を超えた場合にプロセスを自動再起動する設定で、FortiOS 7.4.11 と 7.6.6 で利用できるようになりました。Bug ID 1227167 として管理されている node プロセスのメモリ問題に対する回避策として案内されているため、メモリ増大に対処した環境では有効化されている可能性があります。この設定を有効にした背景については『FortiGate node メモリ増大｜Bug ID 1227167 の回避策』で扱っています。

留意が必要なのは、Fortinet Community が web-svc-auto-restart を hidden command と説明している点です。通常の表示や入力補完だけで設定の有無を判断しないよう注意が必要です。

有効・無効を確実に判定できる単一の確認コマンドは、今回参照した一次情報では確認できませんでした。有効化した記録が手元にない場合は、変更管理記録、過去の作業履歴、取得済みのコンフィグファイルの内容をあわせて確認することを推奨します。これは公式に手順として示されているものではなく、本記事で整理した運用上の判断材料です。

FortiOS 7.6.7 の Release Notes では、Bug ID 1227167 の回避策として web-svc-auto-restart の有効化が引き続き案内されています。メモリ対策として設定を投入した環境ほど、今回の対象条件に該当しやすい点に留意が必要です。

FortiGate アップグレード 不具合の対象条件

自環境が対象になるかどうかは、次の条件で判断します。

今回確認した Fortinet の一次情報では、本件は Release Notes の Known Issues と Fortinet Community の Troubleshooting Tip として公開されています。CVE を伴う脆弱性情報ではなく、可用性と運用継続に影響する製品不具合として整理します。

FortiOS 設定消失で影響を受ける設定と運用への影響

公式記事は、失われる可能性がある設定として hostname、時刻設定、admin-SCP、VDOM モード、switch-controller を挙げています。あわせて公開されている更新前後のコンフィグ抜粋では、更新後の config system global ブロックが alias、hostname、timezone のみに縮小し、それ以外の設定値が残っていません。

このうち、FortiSwitch のオフライン表示と管理ポートのリセットは、公式記事が更新後に観測された事象として明記しているものです。それ以外の「想定される運用影響」は、示された設定変化から本記事で整理した観点になります。

公式記事は影響がこれらの項目に限定されないと明記しているため、列挙された設定だけを確認すれば十分とは判断できません。更新前後で config system global 全体を比較する運用を推奨します。

アップグレード前の回避手順

対象経路に該当する場合の作業順序を整理します。順番を入れ替えると、無効化する前に更新が始まる、比較用の記録が残らないといった問題につながります。

show system global

config system global
    set web-svc-auto-restart disable
end

Fortinet が示す回避策は、アップグレード前の一時無効化と更新後の再有効化です。これとは別に、通常のアップグレード作業と同様の準備をあわせて行います。保守時間の確保、コンソール接続を含む代替管理経路の準備、切り戻し判断の基準を事前に決めておくことを推奨します。

Fortinet Community では、VDOM 関連設定の消失と FortiSwitch のオフライン表示が影響例として示されています。一方、HA 構成でのフェイルオーバーや同期状態など、構成別の詳細な挙動までは説明されていません。HA、VDOM、FortiSwitch を利用する環境では、構成に応じた確認項目を事前に整理しておくと復旧判断が早くなります。

アップグレード後の確認と再有効化

更新後は、設定差分の確認と設定読み込みエラーの確認を分けて実施します。この 2 つは目的が異なるため、どちらか一方では判断材料が不足します。

show system global

diagnose debug config-error-log read

config system global
    set web-svc-auto-restart enable
end

2 つの確認コマンドの役割の違い

show system global

更新後の global 設定を出力し、更新前に記録した内容との差分を確認するために使用します。隠し設定が出力に含まれるとは限らないため、この出力だけで web-svc-auto-restart の有効・無効を判定する用途には使えません。

diagnose debug config-error-log read

起動時の設定読み込みで発生したエラーを表示します。設定が反映されなかった箇所と失敗理由の手がかりを得るために使用します。差分そのものを一覧する用途ではありません。

影響を受けた場合の対応と修正版

すでに対象バージョンへ更新し、設定の変化に気づいた場合は、いきなり全設定をリストアするのではなく、影響範囲を切り分けてから復旧方法を決めます。

設定差分の特定と優先復旧の判断順

1. 更新前バックアップと現在のコンフィグを比較し、差分を洗い出す
2. hostname、管理アクセス、VDOM 構成、FortiSwitch 管理、timezone など、運用継続に直結する設定を優先して確認する
3. 設定読み込みエラーを確認し、反映されなかった箇所を特定する
4. 差分が限定的であれば、該当する設定を個別に再投入する
5. 影響範囲や復旧方法を判断できない場合は Fortinet TAC へ相談する

全設定のリストアは、機種、FortiOS のバージョン、構成、停止影響を確認したうえで判断します。バージョンをまたぐコンフィグの復元には制約があるため、差分を確認しないままの全体リストアは推奨しません。復旧方法は環境によって異なるため、一律の手順で判断しないほうが安全です。

監視システムがホスト名や SNMP の情報で機器を識別している場合、hostname の変化がアラートの誤検知や欠落につながることがあります。設定の復旧と同時に、監視側の状態も確認しておくと安全です。

FortiOS 7.4.12 不具合と 7.6.7 不具合の記載状況

FortiOS 7.6.7 の Release Notes では、Bug ID 1277454 が Known Issues の Upgrade カテゴリーに掲載されています。

参考: FortiOS 7.6.7 Release Notes
“may result in the loss of specific config system global settings”
（特定の config system global 設定が失われる場合があります。）
https://docs.fortinet.com/document/fortigate/7.6.7/fortios-release-notes/236526/known-issues

一方、執筆時点で FortiOS 7.4.12 の Known Issues には Bug ID 1277454 の記載を確認できませんでした。Fortinet Community の記事は 7.4.11 から 7.4.12 も対象経路として挙げているため、Release Notes での記載有無だけを根拠に対象外と判断しないことを推奨します。

修正版に関する記載と公開状況の確認

Fortinet Community の記事には、修正が FortiOS 7.4.13、7.6.8、8.0.1 に含まれると記載されています。ただし、これは Community 記事上の記載であり、各バージョンの公開状況とは別の論点です。

執筆時点で Fortinet Document Library の FortiOS Release Notes に掲載されている各系列の最新版は 7.4.12、7.6.7、8.0.0 であり、7.4.13、7.6.8、8.0.1 の Release Notes と Resolved Issues は確認できませんでした。これらのバージョンが公開済みか、Bug ID 1277454 が Resolved Issues に掲載されているか、推奨リリースであるかは、更新計画の時点で改めて確認することを推奨します。

推奨アップグレードパスは機種と現行バージョンによって変わります。修正版が公開された後も、Upgrade Path Tool と対象バージョンの Release Notes を個別に確認したうえで更新計画を組み立てる運用を推奨します。

まとめ

Bug ID 1277454 は、特定の 2 経路と web-svc-auto-restart の有効化が重なった場合に、system global 配下の設定が更新後に残らない不具合です。回避策自体は 2 行のコマンドですが、実務で重要なのは、無効化と再有効化の前後に何を記録し、何を比較するかを決めておくことです。

• 対象は FortiOS 7.4.11 から 7.4.12 と 7.6.6 から 7.6.7 GA の 2 経路
• 発生条件は system global 配下の web-svc-auto-restart が有効な状態
• hostname、timezone、admin-scp、vdom-mode、switch-controller などの消失例
• 更新前の復元可能なバックアップ取得と主要設定の記録
• アップグレード直前の一時無効化と、更新完了後の再有効化
• 設定差分の確認と設定読み込みエラーの確認という 2 つの役割分担
• 修正版とされる 7.4.13、7.6.8、8.0.1 の公開状況は個別に確認

以上、最後までお読みいただきありがとうございました。