CVE-2026-25089: FortiSandboxの認証なしコマンドインジェクションがCISA KEVに追加

2026年7月16日CVSS 9.8 · クリティカル · アクティブに悪用中5分で読めるCVE-2026-25089: Fortinet FortiSandbox 認証なしOSコマンドインジェクション — ネットワーク上の露出したインスタンスの発見方法Fortinet FortiSandboxは、そのWebインターフェースに認証なしOSコマンドインジェクションの脆弱性を抱えています。FortinetのCNAレコードはCVSS 9.8を割り当てていますが、PSIRTアドバイザリは9.1としており、NVDは独立したスコアを発行していません。Defusedは6月中旬に悪用試行を報告し、CISAは7月16日にCVE-2026-25089をKEVに追加し、該当するFCEBシステムには7月19日までの期限を設定しました。これは、2ヶ月間で野外で悪用された3番目のFortiSandboxの脆弱性です。 脆弱性 CVE-2026-25089 (CWE-78: OSコマンドインジェクションに悪用される特殊文字の不適切な無効化) は、FortiSandboxのWeb UIにおけるOSコマンドインジェクションです。この脆弱性は「VNC開始」機能に影響すると報告されており、攻撃者はこのエンドポイントへのHTTPリクエスト内のJSONペイロードでシェルメタ文字を注入できます。認証は不要で、ユーザー操作も必要なく、攻撃の複雑性は低いです。 CVSS: 9.8 クリティカル (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) — Fortinet CNAレコード; Fortinet PSIRTアドバイザリは9.1としており、NVDは独立した評価を公開していません CWE: CWE-78 (OSコマンドインジェクション) AFFECTED: FortiSandbox 4.2.x (全バージョン), 4.4.0–4.4.8, 5.0.0–5.0.5; FortiSandbox Cloud 5.0.4–5.0.5; FortiSandbox PaaS 5.0.4–5.0.5 FIXED: FortiSandbox 4.4.9+, 5.0.6+; Cloud/PaaS 5.0.6+; CNAレコードは4.2を影響を受けるとしていますが、Fortinetのアドバイザリは4.2の修正を提供していません — Fortinetに移行ガイダンスを問い合わせてください EXPLOITED: 2026年6月中旬からアクティブな悪用が確認されています — CISA KEVは2026年7月16日にリスト化 · BOD 26-04期限 2026年7月19日 (FCEB機関) ADVISORY: Fortinet PSIRT FG-IR-26-141 関連するFortiSandboxの悪用活動 CVE-2026-25089は、2026年に野外で悪用された3番目のFortiSandboxの脆弱性です。関連する2つの脆弱性は4月に修正され、6月中旬にアクティブな悪用が見られました。 • CVE-2026-39808 — OSコマンドインジェクション (CNA CVSS 9.8; PSIRT 9.1)、認証なしRCE。KEVIntelにより6月12日に悪用が観測されました。 • CVE-2026-39813 — 認証バイパスにつながるパス・トラバーサル (CNA CVSS 9.8; PSIRT 9.1)。Defusedにより6月15日に悪用が観測されました。 脅威インテリジェンス企業Defusedは、3つのCVEすべてに対する悪用試行をハニーポットで検出しました。FortiSandboxは、統合されたFortinet製品（FortiGate、FortiMail、FortiWeb、FortiProxy）が脅威の判定結果を消費してブロック決定を強制し、自動応答をトリガーするため、価値の高いターゲットです。これらの製品はFortiSandboxの結果に依存するため、対応者は予期しない判定結果、シグネチャ、または設定変更がないか、接続されたワークフローを確認する必要があります。 調査ワークフロー FortiSandboxアプライアンスは通常、ファイアウォールの背後にある内部ネットワークに展開されますが、そのWeb管理インターフェースは、管理VLANから、または展開によってはインターネットからアクセス可能な場合があります。露出したインスタンスを特定することが最初のステップです。 1. ポートスキャン: FortiSandboxアプライアンスの発見 FortiSandboxは、Web UIとサービスに標準ポートを使用します。CVE-2026-25089が存在する管理Webインターフェースが主なターゲットです。 • 443 — HTTPS Web UI (管理インターフェース — 脆弱性が存在する場所) • 80 — HTTP Web UI (HTTPSリダイレクトが強制されていない場合) • 22 — SSH管理 • 514 — OFTP (他のFortinet製品からのファイル/URL/トラフィック送信) 2. HTTPヘッダー: FortiSandboxインターフェースの特定 FortiSandboxアプライアンスは、管理インターフェースで識別可能なHTTPレスポンスを返します。 • HTMLタイトルにFortiSandboxが含まれる • HTTPヘッダーにFortinetまたはFortiSandboxへの参照がある • FortinetのブランディングとFortiSandbox製品名が表示されるログインページ • ServerヘッダーがFortinet Webサーバーを識別する場合があります 3. TLSインスペクト: 証明書の確認 ポート443でTLS証明書を取得します。以下を探してください。 • Subject CNまたはSANにFortiSandboxまたはfortisandboxが含まれる • Fortinetからのデフォルトの自己署名証明書 (初期展開で一般的) • Fortinetを参照するOrganizationフィールド 4. DNS: FortiSandboxインフラストラクチャの発見 一般的なFortiSandboxの命名パターンをDNSでクエリします: sandbox.*, fortisandbox.*, fsb.*, fsa.*。FortiSandboxアプライアンスには、内部DNSで説明的なホスト名が付けられることがよくあります。 5. CVEルックアップ: 3つの脆弱性をすべて追跡 CVE-2026-25089、CVE-2026-39808、CVE-2026-39813を検索します。これら3つすべてがFortiSandboxをターゲットとしており、野外で悪用されています。すべてに適用可能か確認してください。FortiSandbox 4.4.9+は4.4ブランチのすべての脆弱性に対応します。5.0.6+は5.0ブランチの該当する脆弱性に対応します。CVE-2026-39808は5.0には影響しません。 注: 上記のフィンガープリントはヒューリスティックです — これらはFortiSandboxインスタンスの可能性を特定しますが、パッチレベルを確認するものではありません。FortiSandboxはファームウェアバージョンをHTTPヘッダーに公開しません。インストールされているバージョンを確認するには、管理UIにログインし、System > Dashboardを確認してください。 外部データとのクロスリファレンス SHODAN: internet-exposed instances を見つけるために http.title:"FortiSandbox" または ssl:"FortiSandbox" を検索 CVE LOOKUP: 脆弱性開示を追跡するために CVE-2026-25089, CVE-2026-39808, および CVE-2026-39813 を検索 CISA KEV: CVE-2026-25089 は2026年7月16日にリスト化 — BOD 26-04期限 2026年7月19日 (FCEB機関) FORTINET: FG-IR-26-141 対応策 直ちにパッチを適用してください。FortiSandboxを4.4.9+または5.0.6+にアップグレードしてください。CloudおよびPaaSデプロイメントは5.0.6+にアップグレードする必要があります。CNAレコードは4.2を影響を受けるとしていますが、Fortinetのアドバイザリは4.2の修正を提供していません — サポートされている移行または緩和ガイダンスについてはFortinetに問い合わせてください。パッチ適用がすぐに不可能な場合は、管理インターフェースを信頼できないネットワークから隔離し、指定された管理ホストへのアクセスを制限してください。 関連するCVEにもパッチを適用してください。CVE-2026-39808およびCVE-2026-39813は2026年4月に修正されましたが、4月のアップデートを受けていないシステムには引き続き存在する可能性があります。FortiSandboxが3つのアクティブに悪用されている脆弱性すべてに対してパッチ適用されていることを確認してください。 管理インターフェースへのアクセスを制限してください。Web UI (ポート443) はインターネットに公開されるべきではありません。専用の管理VLANまたはMFA付きのジャンプホストに制限してください。これにより、3つのCVEすべてに対する攻撃対象領域が限定されます。 Fortinet製品の統合を監査してください。FortiSandboxは、FortiGate、FortiMail、FortiWeb、FortiProxyに脅威の判定結果を提供します。侵害されたサンドボックスは、下流の判定結果の精度に影響を与える可能性があります。統合ログで予期しない判定結果の変更や設定変更がないか確認してください。 侵害ハンティングを実施してください。Fortinetは、この脆弱性に対する検証済みのIOCを公開していません。一般的なハンティングガイダンスとして、VNC関連のエンドポイントへの異常なリクエストがないかWeb UIアクセスログを確認し、予期しないアウトバウンド接続、新しいユーザーアカウント、または変更されたシステム構成を探してください。 フォローアップ活動を監視してください。FortiSandboxはマルウェアサンプルを処理し、ネットワーク全体から送信されたファイルにアクセスします。侵害されたアプライアンスは、サンプルデータ、ネットワークトポロジ、または他のFortinet製品の統合認証情報を公開している可能性があります。 この調査で使用されたすべてのツール — ポートスキャン、TLSインスペクト、HTTPヘッダー、DNS、CVEルックアップ — はRECONで携帯電話から実行できます。App Storeで入手してください。 新しいCVE調査については @hellorecon をフォローしてください。 ソース → Fortinet PSIRT: FG-IR-26-141 → NVD: CVE-2026-25089 → CISA Known Exploited Vulnerabilities Catalog → Help Net Security: Attackers Are Exploiting FortiSandbox Vulnerabilities → SecurityWeek: 3 FortiSandbox Vulnerabilities in Hacker Crosshairs → Arctic Wolf: CVE-2026-25089 Analysis → Fortinet: FortiSandbox Port and Access Control Information Vladimir Slavin · Founder, RECON · [email protected]