Aktywnie wykorzystywana w atakach
Fortinet FortiSandbox OS Command Injection Vulnerability
Fortinet - FortiSandbox · Figuruje w katalogu CISA KEV od 2026-07-16. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-39808
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
W Fortinet FortiSandbox w wersjach 4.4.0 do 4.4.8 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Luka ta wynika z nieprawidłowej neutralizacji specjalnych elementów w poleceniach OS.
Ocena ryzyka
Atakujący może zdalnie wykonać nieautoryzowany kod lub polecenia na podatnym urządzeniu, co może prowadzić do pełnej kompromitacji systemu i naruszenia poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Fortinet FortiSandbox do wersji 4.4.9 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w FortiSandbox
Zobacz wszystkie- CVE-2026-25089KrytyczneAktywnie exploitowane
Podatność na wstrzykiwanie poleceń systemu operacyjnego w Fortinet FortiSandbox (wersje 5.0.0-5.0.5, 4.4.0-4.4.8, 4.2 wszystkie, FortiSandbox Cloud 5.0.4-5.0.5, FortiSandbox PaaS 5.0.4-5.0.5). Nieuwierzytelniony atakujący może wykonać nieautoryzowane polecenia przez spreparowane żądania HTTP.
- CVE-2026-26083Krytyczne
Brak autoryzacji w Fortinet FortiSandbox umożliwia nieuwierzytelnionemu atakującemu wykonanie nieautoryzowanego kodu lub komend poprzez żądania HTTP. Podatność dotyczy wielu wersji FortiSandbox, FortiSandbox Cloud oraz FortiSandbox PaaS.
- CVE-2026-84387Wysokie
Podatność typu command injection w Fortinet FortiSandbox 5.2.0, 5.0.0 do 5.0.6 oraz 4.4.0 do 4.4.9 może umożliwić atakującemu wykonanie nieautoryzowanego kodu lub poleceń.
- CVE-2026-59835Wysokie
Podatność w Fortinet FortiSandbox w wersjach 5.0.0-5.0.2 oraz 4.4.3-4.4.8 umożliwia nieuwierzytelnionemu atakującemu dostęp do serwera VNC maszyn wirtualnych wykonujących skanowanie. Problem wynika z nieprawidłowego ograniczenia dostępu do zasobów.
Oryginalny opis (angielski, źródło NVD)
A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiSandbox 4.4.0 through 4.4.8 may allow attacker to execute unauthorized code or commands via <insert attack vector here>
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS