CVE-2026-25089:Fortinet FortiSandbox 无认证OS指令注入

Fortinet FortiSandbox在其网页界面中包含一个未经认证的OS指令注入弱点. Fortinet的CNA唱片指定CVSS 9.8,而其PSIRT咨询列出9.1;NVD没有发布独立的分数. 6月中旬未报告开采企图,CISA于7月16日将CVE-2026-25089加到KEV中,适用FCEB系统的最后期限为7月19日. 这是在两个月内在野外开采的第三个FortiSandbox脆弱性.

脆弱性

CVE-2026-25089(CWE-78:OS命令中使用的特殊元素的不当中立)是FortiSandbox网络UI中的OS命令注射. 据报道,缺陷会影响"启动VNC"特性——攻击者可以通过JSON有效载荷在HTTP请求中向这个终点注入炮弹元特征. 不需要认证,不需要用户互动,攻击的复杂性也很低.

• CVSS:9.8 临界值(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)——Fortinet CNA记录;Fortinet PSIRT咨询清单 9.1;NVD尚未发布独立评估.
• CWE:CWE-78(OS指挥注射)
• 备注:FortiSandbox 4.2.x(所有版本),4.4.0–4.4.8,5.0.0–5.0.5;FortiSandbox Cloud 5.0.4–5.0.5;FortiSandbox PaaS 5.0.4–5.0.5
• FIXED:FortiSandbox 4.4.9+, 5.0.6+; Cloud/PaaS 5.0.6+;CNA记录列出4.2作为受影响者,但Fortinet的咨询没有提供4.2的补救——联系Fortinet为移民指导.
• 剥削:自2026年6月中旬以来确认积极开采——CISA KEV列出2026年7月16日——BOD 26-04最后期限2026年7月19日(行政首长协调会机构)
• 咨询:Fortinet PSIRT FG-IR-26-141

相关的FortiSandbox开发活动

CVE-2026-25089是2026年在野外开采的第三个FortiSandbox脆弱性. 4月份弥补了两个相关的缺陷,到6月中已发现积极开采:

• • CVE-2026-39808——OS指令注射(CNA CVSS 9.8;PSIRT 9.1),未经认证的RCE. KEVIntel观察了6月12日的开采活动。
• • CVE-2026-39813——通往认证绕行的路径转弯(CNA CVSS 9.8;PSIRT 9.1)。 6月15日 " Defused " 公司观察到的剥削。

威胁情报公司 Defused检测到所有三家CVE公司在蜂蜜壶上的开采企图. FortiSandbox是一个高价值的目标,因为整合后的Fortinet产品——FortiGate,FortiMail,FortiWeb,FortiProxy(英语:FortiProxy)消耗其威胁判断来强制执行阻断决定并触发自动响应. 因为这些产品依赖于FortiSandbox结果,响应者应当审查连接的工作流程,以进行意想不到的判断,签名,或配置变化.

工作流程

FortiSandbox电器一般被部署在防火墙后面的内部网络上,但其网络管理界面经常可以从管理VLAN上访问,或者在某些部署中也可以从互联网上访问. 查明暴露的情况是第一步。

1. 端口扫描:查找FortiSandbox应用程序

FortiSandbox为其网络UI和服务使用标准端口. 管理网络界面——CVE-2026-25089的地址——是首要目标:

• • 443——HTTPS网络UI(管理界面——脆弱性所在)
• • 80 — HTTP 网络用户界面(如果 HTTP 重定向未执行)
• • 22——SSH管理
• • 514 — OFTP(文件/URL/来自其他Fortinet产品的交通资料)

2. HTTP 信头: 识别 FortiSandbox 接口

FortiSandbox电器在管理界面上返回可识别的HTTP响应:

• • 包含FortiSandbox的 HTML 标题
• • 参考Fortinet或FortiSandbox的HTTP信头
• • 登录Fortinet品牌和FortiSandbox产品名称的页面
• • 服务器头可以识别Fortinet网络服务器

3. TLS 检查:检查证书

在443号端口拉出TLS证书. 寻找 :

• • 含有FortiSandbox或Fortisandbox的CN或SAN主题
• • 来自Fortinet的默认自签证书(在初始部署时常见)
• • 本组织外地参考资料Fortinet

4. DNS:发现堡堡基础设施

查询常见的FortiSandbox命名模式:沙盒. *, Fortisandbox. *, fsb. *, fsa. *. FortiSandbox电器经常在内部DNS中被赋予描述性主机名.

5. CVE调查:追踪所有三种脆弱性

查查CVE-2026-25089,CVE-2026-39808,和CVE-2026-39813. 三个目标FortiSandbox 都在野外被利用 检查所有三个的适用性。 FortiSandbox 4.4.9+处理4.4分支的所有三个弱点;5.0.6+处理5.0上适用的弱点. CVE-2026-39808不影响5.0.

注意: 上面的指纹是heuristics——它们识别出可能是FortiSandbox的事件,但不确认补丁级别. FortiSandbox没有在HTTP头中披露它的固件版本. 为了验证已安装的版本,请登录到管理UI并检查System > Dashboard.

与外部数据交叉参考

• SHODAN:搜索 http.title:"FortiSandbox" 或 sl:"FortiSandbox" 查找网络曝光实例
• CVE LookUP:CVE-2026-25089,CVE-2026-39808,以及CVE-2026-39813 勘探披露
• CISA KEV:CVE-2026-25089 2026年7月16日列出——BOD 26-04 2026年7月19日截止日期(FCEB机构)
• 福蒂网:FG-IR-26-141

补救

1. 马上补补 升级FortiSandbox为4.4.9+或5.0.6+. 云和PaaS的部署应升级到5.0.6+. CNA记录将4.2列为受影响者,但Fortinet的咨询并未提供4.2补救——联系Fortinet以获得支持的迁移或缓解指导. 如果无法立即补丁,则将管理界面与不信任的网络隔离,并限制对指定行政主机的访问.
2. 补上相关的CVEs。 CVE-2026-39808和CVE-2026-39813于2026年4月进行了补丁,但可能仍然存在于尚未收到4月更新的系统中. 校验你的福蒂桑德盒 与所有三个被积极开发的弱点相匹配
3. 限制管理界面访问. 网络UI(第443号口)不应该成为网络宣传。 将其限制在专用管理VLAN或与MFA一起跳转主机. 这限制了所有三种CVE的攻击表面.
4. 审计福蒂网产品集成. FortiSandbox为FortiGate,FortiMail,FortiWeb和FortiProxy提供威胁判决. 一个受损的沙盒可能会影响下游判决的准确性。 为意外的判定更改或配置更改审查集成日志.
5. 进行妥协狩猎。 福尔蒂内特没有发表过关于这种脆弱性的经过验证的海洋学委员会. 作为一般的狩猎指南:对异常请求访问VNC相关端点的Web UI访问日志进行审查,寻找出乎意料的外出连接,新的用户账户,或修改的系统配置.
6. 监测后续活动。 FortiSandbox处理恶意软件样本,并可以访问从整个网络提交的文件. 受损的电器可能暴露了样本数据,网络地形,或者其他福蒂网产品的集成资质.

在这个调查中使用的每一个工具——端口扫描,TLS检查,HTTP头,DNS,CVE查询——都从你在RECON的手机中运行. 把它放到App Store上。 把它放到App Store。

请跟随@hellorecon进行新的CVE调查.