Fortinet FortiSandbox OS Command Injection Vulnerability

A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 through 4.4.8, FortiSandbox 4.2 all versions, FortiSandbox Cloud 5.0.4 through 5.0.5, FortiSandbox PaaS 5.0.4 through 5.0.5 may allow an unauthenticated attacker to execute unauthorized commands via specifically crafted HTTP requests

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Fortinet FortiSandbox ausnutzen, um beliebige Betriebssystembefehle auszuführen.

On June 9, 2026, Fortinet published security advisories to address vulnerabilities in multiple products. Included were critical updates for the following: On July 16, 2026, Cybersecurity and Infrastructure Security Agency (CISA) added CVE-2026-25089 to their Known Exploited Vulnerabilities (KEV) Database.

On April 14, 2026, Fortinet published security advisories to address vulnerabilities in multiple products. Included were critical updates for the following: Open-source reporting indicates that CVE-2026-39813, CVE-2026-39808, and CVE-2026-25089 have been exploited.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 10 Jun 2026, published on 10 June 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

De multiples vulnérabilités ont été découvertes dans les produits Fortinet. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance et une atteinte à la confidentialité des données.

Kritikus

La campagna denominata “FortiBleed” evidenzia un rischio concreto per le organizzazioni che espongono su Internet apparati Fortinet/FortiGate non aggiornati, in particolare laddove risultino pubblicamente raggiungibili servizi SSL-VPN o interfacce amministrative. Il threat actor avrebbe effettuato attività di ricognizione su larga scala finalizzate all’individuazione di istanze Fortinet esposte sulla rete pubblica e accessibili dall’esterno, con particolare attenzione ai dispositivi per i quali l’interfaccia di management FortiGate risulta direttamente accessibile da Internet. L’accesso iniziale potrebbe essere stato ottenuto tramite tecniche di abuso delle credenziali (es. credential stuffing , password spraying , brute force e riuso di credenziali provenienti da compromissioni precedenti), senza escludere il possibile sfruttamento di vulnerabilità note su sistemi non aggiornati o non adeguatamente protetti. Ulteriori attività di credential harvesting e possibili debolezze nei meccanismi di gestione delle credenziali (es. legacy hashing ) potrebbero aver contribuito alla disponibilità di credenziali valide utilizzate nella campagna. Una volta ottenuto l'accesso iniziale alla rete interna, la campagna può evolvere tramite scansioni automatizzate volte a individuare eventuali ulteriori asset dell'ecosistema Fortinet non aggiornati. In questa fase possono configurarsi tentativi di movimento laterale tramite lo sfruttamento di vulnerabilità note per l'esecuzione di codice da remoto (RCE) e il bypass dell'autenticazione, in particolare su istanze: FortiSandbox: CVE-2026-39808, CVE-2026-39813, CVE-2026-25089; FortiClient EMS: CVE-2026-21643, CVE-2026-35616. Ulteriori vulnerabilità Fortinet, anche di natura storica, che potrebbero aver contribuito indirettamente al contesto di esposizione delle credenziali o essere sfruttate in fasi successive della compromissione, tra cui: CVE-2018-13379 CVE-2022-42475 CVE-2023-27997 CVE-2024-21762 CVE-2024-55591 CVE-2025-59718 CVE-2026-25815 Da un ' analisi eseguita sui file rilasciati dall’attore malevolo è emerso che sono presenti evidenze riconducibili anche ad asset e organizzazioni italiane. Inoltre, parte delle informazioni presenti nei file potrebbe derivare da export di configurazione degli apparati. Tale scenario risulta particolarmente critico, in quanto i file di configurazione possono contenere informazioni sensibili relative a utenze locali, gruppi di accesso, configurazioni SSL-VPN, policy firewall, oggetti di rete, indirizzamenti interni, server di autenticazione e ulteriori parametri utili alla compromissione dell’infrastruttura. La disponibilità di credenziali SSL-VPN potenzialmente valide potrebbe consentire a un attaccante di autenticarsi ai servizi VPN esposti e ottenere un accesso iniziale alla rete interna dell’organizzazione. Un accesso effettuato tramite canali apparentemente legittimi può ridurre la capacità di rilevamento da parte dei sistemi di sicurezza perimetrali e favorire successive attività ostili, tra cui movimento laterale, modifica delle configurazioni, creazione di utenze non autorizzate, esfiltrazione di dati o distribuzione di malware. Aggiornamento del 6 ottobre 2026 Un advisory congiunto del Federal Bureau of Investigation (FBI) e dello United States Secret Service (USSS) segnala il proseguimento delle attività malevole riconducibili alla campagna FortiBleed, finalizzate alla compromissione di credenziali e all'accesso non autorizzato a dispositivi Fortinet FortiGate esposti su Internet. Secondo quanto riportato, gli attaccanti utilizzano credenziali precedentemente compromesse e tecniche di attacco alle password per ottenere accesso ai dispositivi. Le attività osservate comprendono la creazione di account amministrativi non autorizzati per mantenere la persistenza e, in alcuni casi, la modifica o l'eliminazione degli account legittimi, impedendo agli amministratori di accedere ai sistemi interessati. Sono state inoltre documentate attività di ricognizione degli account Active Directory e tentativi di estensione della compromissione alle reti interne. L'advisory segnala, infine, il coinvolgimento di Initial Access Broker che, sfruttando la catena di attacco FortiBleed, hanno fornito successivamente l'accesso a gruppi affiliati a operazioni ransomware. Tra i gruppi attualmente identificati figurano INC/Lynx ransomware e Payload ransomware.

Fortinet FortiSandboxのバージョン5.0.0から5.0.5、4.4.0から4.4.8、4.2の全バージョン、FortiSandbox Cloudのバージョン5.0.4から5.0.5、FortiSandbox PaaSのバージョン5.0.4から5.0.5において、OSコマンドインジェクションで使用される特殊な要素が適切に無効化されていない脆弱性が存在します。この脆弱性により、認証されていない攻撃者が特別に細工されたHTTPリクエストを介して不正なコマンドを実行できる可能性があります。

Fortinet FortiSandbox OS Command Injection Vulnerability

FortiSandbox, FortiSandbox Cloud, FortiSandbox PaaS에서 발생하는 OS Command Injection 취약점(CVE-2026-25089) [3][6]

Fortinet FortiSandbox versions 4.2 through 5.0.5, including Cloud and PaaS variants, contain an OS command injection vulnerability allowing unauthenticated attackers to execute unauthorized commands via crafted HTTP requests.