ИИтог

FortiSandbox: критическую уязвимость CVE-2026-25089 уже атакуют

безопасностьРедакция ИИтогHacker News🔥55Рейтинг ИИтог · значимость 59 · 30 баллов · 4/ч

В веб-интерфейсе Fortinet FortiSandbox обнаружена уязвимость CVE-2026-25089, внедрение команд операционной системы (CWE-78) через функцию «start VNC»: злоумышленник может подсунуть спецсимволы командной оболочки в JSON-запросе к этому эндпоинту. Аутентификация не требуется, участие пользователя не нужно, сложность атаки низкая. Сама Fortinet оценивает уязвимость по-разному в двух документах: карточка CNA даёт CVSS 9.8 (критический уровень), а PSIRT-советник, 9.1; независимой оценки NVD пока нет. Уязвимость затрагивает FortiSandbox всех версий линейки 4.2.x, версии 4.4.0, 4.4.8 и 5.0.0, 5.0.5, а также облачные версии FortiSandbox Cloud и FortiSandbox PaaS 5.0.4, 5.0.5. Исправление вышло в версиях 4.4.9+ и 5.0.6+ (для облака и PaaS, тоже 5.0.6+); при этом карточка CNA относит к уязвимым и линейку 4.2, но советник Fortinet не даёт для неё патча, тем, кто использует эту версию, нужно обращаться в Fortinet за инструкциями по миграции.

По данным компании Defused, попытки эксплуатации CVE-2026-25089 фиксировались на honeypot-ловушках с середины июня 2026 года. 16 июля 2026 года CISA добавила уязвимость в каталог активно эксплуатируемых (KEV); согласно директиве BOD 26-04, федеральные гражданские агентства США (FCEB) обязаны устранить её до 19 июля 2026 года.

Это уже третья уязвимость FortiSandbox, которую атакуют «в дикой природе» за два месяца. Ранее, в апреле 2026 года, были закрыты ещё два похожих дефекта, CVE-2026-39808 (внедрение команд ОС, CVSS 9.8 по CNA / 9.1 по PSIRT, удалённое выполнение кода без аутентификации; эксплуатацию зафиксировала фирма KEVIntel 12 июня) и CVE-2026-39813 (обход аутентификации через directory traversal, CVSS 9.8/9.1; эксплуатацию 15 июня обнаружила Defused). Все три уязвимости к середине июня уже атаковались на практике, несмотря на выход патчей ещё в апреле.

FortiSandbox, не рядовой продукт: он выдаёт вердикты об угрозах ("threat verdicts") другим устройствам Fortinet, FortiGate, FortiMail, FortiWeb и FortiProxy, которые на основе этих вердиктов принимают решения о блокировке и запускают автоматические реакции. Из-за этой интеграции взлом FortiSandbox потенциально способен исказить решения всей цепочки защитных продуктов, поэтому специалистам рекомендуют проверять связанные системы на неожиданные вердикты, подписи или изменения конфигурации.

В материале, опубликованном блогом hellorecon (создателем мобильного приложения для разведки уязвимостей RECON), подробно описана методика поиска доступных из сети экземпляров FortiSandbox: сканирование портов 443/80 (веб-интерфейс), 22 (SSH) и 514 (OFTP для приёма файлов от других продуктов Fortinet); анализ HTTP-заголовков и заголовка HTML-страницы на упоминания FortiSandbox; проверка TLS-сертификата на предмет самоподписанных сертификатов Fortinet; поиск характерных доменных имён вида sandbox., fortisandbox., fsb., fsa.; а также поиск через Shodan по запросам http.title:"FortiSandbox" или ssl:"FortiSandbox". Авторы отдельно подчёркивают, что эти признаки, лишь эвристики: они помогают найти вероятные инстансы FortiSandbox, но не показывают уровень установленных патчей, версию нужно проверять внутри панели управления, в разделе System > Dashboard.

Рекомендации по устранению: обновиться до FortiSandbox 4.4.9+ или 5.0.6+ (облако и PaaS, до 5.0.6+); если немедленное обновление невозможно, изолировать интерфейс управления от недоверенных сетей и открывать доступ только с выделенных административных хостов с MFA; проверить исправление и двух более ранних уязвимостей (CVE-2026-39808 и CVE-2026-39813), поскольку системы могли не получить апрельские обновления; провести аудит интеграций с FortiGate, FortiMail, FortiWeb и FortiProxy на предмет неожиданных изменений вердиктов; и вести поиск следов компрометации, проверенных индикаторов компрометации (IOC) Fortinet пока не публиковала, поэтому рекомендуется вручную просматривать журналы доступа к веб-интерфейсу на предмет обращений к VNC-эндпоинтам, необычные исходящие соединения, новые учётные записи и изменения конфигурации.

Ключевые факты

  • CVE-2026-25089, неаутентифицированное внедрение команд ОС в веб-интерфейсе FortiSandbox (функция «start VNC»), CVSS 9.8 по оценке Fortinet CNA и 9.1 по PSIRT; независимой оценки NVD ещё нет
  • Затронуты FortiSandbox 4.2.x, 4.4.0, 4.4.8, 5.0.0, 5.0.5, а также FortiSandbox Cloud/PaaS 5.0.4, 5.0.5; исправление, 4.4.9+ и 5.0.6+ (для 4.2.x патча пока нет, нужен контакт с Fortinet)
  • Эксплуатация зафиксирована фирмой Defused с середины июня 2026 года; 16 июля CISA внесла уязвимость в каталог KEV, для федеральных агентств США срок устранения, 19 июля
  • Это уже третья уязвимость FortiSandbox, атакуемая «в дикой природе» за два месяца, после CVE-2026-39808 и CVE-2026-39813, которые были патчены в апреле, но всё равно эксплуатировались к середине июня
  • FortiSandbox поставляет вердикты об угрозах устройствам FortiGate, FortiMail, FortiWeb и FortiProxy, его компрометация может исказить решения всей цепочки защиты

Почему это важно

Это критическая уязвимость с удалённым выполнением команд без какой-либо аутентификации, которую уже активно эксплуатируют в реальных атаках, а не теоретический риск. Она добавлена в каталог CISA KEV, что означает официально подтверждённую эксплуатацию. Важен и системный сигнал: за два месяца это уже третья критическая уязвимость именно в FortiSandbox, которая атакуется на практике, это говорит о системных проблемах с безопасностью продукта, а не о единичном инциденте.

Кому это важно

В первую очередь, организациям, использующим FortiSandbox, особенно федеральным агентствам США (FCEB), для которых директива BOD 26-04 устанавливает жёсткий срок устранения, 19 июля 2026 года. Также это касается любых команд ИБ и сетевых администраторов, эксплуатирующих связку продуктов Fortinet (FortiGate, FortiMail, FortiWeb, FortiProxy), поскольку они полагаются на вердикты FortiSandbox при принятии решений о блокировке трафика.

Как это применить

Обновить FortiSandbox до версии 4.4.9+ или 5.0.6+ (для облака и PaaS, тоже 5.0.6+); версию можно проверить в панели управления в разделе System > Dashboard, так как по HTTP-заголовкам она не видна. Если обновление невозможно сразу, закрыть управляющий веб-интерфейс (порт 443) от недоверенных сетей, оставив доступ только с выделенных административных хостов с многофакторной аутентификацией. Стоит также проверить, закрыты ли две более ранние уязвимости (CVE-2026-39808 и CVE-2026-39813), пропатченные ещё в апреле. Найти в собственной сети потенциально уязвимые инстансы можно сканированием портов 443/80/22/514, анализом HTTP-заголовков и TLS-сертификатов, а также поиском в Shodan по запросу http.title:"FortiSandbox".

Можно ли доверять

Да, источники материала, официальный советник Fortinet PSIRT (FG-IR-26-141), запись в базе NVD и каталог CISA KEV, дополненные независимыми разборами Help Net Security, SecurityWeek и Arctic Wolf. Сам материал опубликован блогом hellorecon, компании, продающей мобильное приложение для сканирования уязвимостей RECON, и заканчивается рекламой этого приложения; техническую часть про CVE это не обесценивает, но стоит иметь в виду коммерческий контекст публикации.

Риски и подводные камни

Fortinet сама даёт противоречивые оценки серьёзности (CVSS 9.8 у CNA против 9.1 у PSIRT), а независимой оценки NVD пока нет вовсе. Для версии FortiSandbox 4.2.x, которую производитель формально причисляет к уязвимым, патча по-прежнему нет, нужно обращаться в Fortinet индивидуально. Fortinet не опубликовала проверенных индикаторов компрометации, поэтому обнаружить уже состоявшийся взлом сложнее, приходится ориентироваться на общие эвристики вроде необычных запросов к VNC-эндпоинтам. Управляющие интерфейсы FortiSandbox в ряде развёртываний остаются доступны из интернета, хотя производитель прямо рекомендует держать их только во внутренних сетях.