Fortinet FortiSandbox: Authentifizierungsumgehung in der GUI erlaubt unautorisierte Codeausführung

Zusammenfassung

FortiSandbox-Appliances, VMs und PaaS-Instanzen enthalten eine Authentifizierungsumgehung (CWE-288) in der webbasierten Verwaltungsoberfläche (GUI). Ein entfernter, nicht authentifizierter Angreifer kann mit manipulierten HTTP-Anfragen die Authentifizierung umgehen und unautorisierten Code oder unautorisierte Befehle ausführen. Es sind keine Zugangsdaten und keine Benutzerinteraktion nötig, daher schützen MFA und starke Passwörter nicht vor diesem Angriff. Fortinet stuft die Schwachstelle als kritisch ein (CVSS 9.6); der NVD-Vektor ergibt 9.8.

Betroffen

• FortiSandbox 5.0.0 bis 5.0.6
• FortiSandbox 4.4.0 bis 4.4.9
• FortiSandbox 4.2 (CVE-Beschreibung nennt alle Versionen; CNA nennt 4.2.1 bis 4.2.8; Fortinet-Advisory enthält keine 4.2-Zeile, daher bei Fortinet bestätigen lassen)
• FortiSandbox PaaS 5.0.0 bis 5.0.6
• FortiSandbox PaaS 4.4 (alle Versionen)
• FortiSandbox PaaS 4.2 (alle Versionen gemäss CVE-Beschreibung)
• Nicht betroffen: FortiSandbox 5.2 und FortiSandbox PaaS 5.2

Behoben in

• FortiSandbox 5.0: auf 5.0.7 oder neuer aktualisieren
• FortiSandbox 4.4: auf 4.4.10 oder neuer aktualisieren
• FortiSandbox PaaS 5.0: auf 5.0.7 oder neuer aktualisieren
• FortiSandbox 5.2.0 oder neuer (vom CNA als Lösung aufgeführt)
• FortiSandbox 4.2 und PaaS 4.4: Unbekannt. Es ist keine korrigierte Version aufgeführt; auf eine korrigierte Version migrieren und den Weg mit dem Fortinet-Support bestätigen.

Umgehung

• Fortinet listet keinen Virtual Patch.
• Den Internetzugriff auf die Verwaltungs-GUI entfernen und den Zugriff auf Admin-Netzwerke beschränken, geprüft über alle plausiblen Netzwerkpfade.
• Ungewöhnliche HTTP-Anfragen an die Verwaltungsschnittstelle überwachen.
• Korrekturen für andere GUI-Probleme von FortiSandbox schützen nicht vor dieser Schwachstelle.

Ausnutzung

• Fortinet: nicht als aktiv ausgenutzt bekannt.
• CISA KEV: von den Autoren nicht verifiziert; eine Quelle meldete keinen Eintrag Stand 2026-10-15.
• Ein öffentliches GitHub-Repository behauptet, Exploit-Code für diese CVE zu enthalten. Es ist nicht verifiziert und könnte schädlich sein; nicht ausführen.
• Helix meldet den temporalen Score E:F (funktionaler Exploit verfügbar) ohne bestätigte Ausnutzung in freier Wildbahn.
• Weitere FortiSandbox-Schwachstellen von 2026 werden als aktiv ausgenutzt gemeldet; dabei handelt es sich um andere CVEs.

Unsere Empfehlung

• Alle FortiSandbox-Appliances, VMs und PaaS-Instanzen inventarisieren, inklusive Standby- und DR-Systemen.
• Den Internetzugriff auf die GUI sofort entfernen und die Verwaltung auf Admin-Netzwerke beschränken.
• 5.0 auf 5.0.7 oder neuer und 4.4 auf 4.4.10 oder neuer aktualisieren; anhand des aktuellen Advisory prüfen.
• Migration für 4.2 und PaaS 4.4 planen und den Korrekturweg mit Fortinet bestätigen.
• Logs auf ungewöhnliche HTTP-Anfragen und Hinweise auf eine Kompromittierung prüfen; keinen ungeprüften öffentlichen Exploit-Code ausführen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fortinet PSIRT FG-IR-26-185 fortiguard.fortinet.com
• FortiGuard PSIRT FG-IR-26-185 (www) www.fortiguard.com
• Strix AI CVE listing (CNA-derived versions) www.strix.ai
• ThreatFrontier article on CVE-2026-107656 threatfrontier.com
• AboutInfoSec analysis of FortiSandbox auth bypass aboutinfosec.com
• Helix threat watch on FortiSandbox auth bypass flaws helix.ml
• Kudelski Security on active Fortinet exploitation kudelskisecurity.com
• Cyberpress report on critical FortiSandbox flaw cyberpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:35.