Fortinet FortiSandbox: OS-Command-Injection ermöglicht Codeausführung ohne Authentifizierung

Zusammenfassung

FortiSandbox 4.4.0 bis 4.4.8 enthält in der API eine OS-Command-Injection-Schwachstelle (CWE-78). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über präparierte HTTP-Anfragen beliebige Befehle auf dem Gerät ausführen, laut Berichten mit Root-Rechten. CISA führt die Schwachstelle als aktiv ausgenutzt, und öffentlicher Proof-of-Concept-Code ist verfügbar.

Betroffen

• FortiSandbox 4.4.0 bis 4.4.8
• FortiSandbox PaaS Versionen 23.4.4374, 23.4.4350, 23.3.4329, 23.1.4245, 22.2.4151, 22.2.4134, 22.1.4113, 21.4.4072 und 21.3.4055 (gemäss CVE-Eintrag)
• Laut Fortinet nicht betroffen: FortiSandbox 5.0 und PaaS 5.0

Behoben in

• FortiSandbox 4.4.9 oder höher (Fortinet PSIRT)
• FortiSandbox PaaS 5.0.2 oder höher (CVE-Eintrag)
• Unbekannt: ob 4.4.9 die neueste korrigierte Version ist; ein späterer Fortinet-Hinweis nennt laut Berichten Korrekturen in 4.4.10, nicht verifiziert.

Umgehung

• Kein Workaround des Herstellers dokumentiert. Das Einspielen von Patches ist die Korrektur.
• Zugriff auf die Management-Schnittstelle auf vertrauenswürdige Netze und IP-Adressen beschränken; nicht aus dem Internet erreichbar machen. Dies reduziert die Exposition, ist aber keine Korrektur.

Ausnutzung

• Im CISA-KEV-Katalog aufgeführt (aufgenommen am 16. Juli 2026).
• Öffentlicher Proof-of-Concept-Exploit auf GitHub verfügbar; eine Erkennungsvorlage eines Drittanbieters existiert.
• Laut Berichten wurden seit Mitte Juni 2026 Angriffsversuche beobachtet, die dem öffentlichen PoC entsprechen; das genaue erste Datum ist unbekannt.

Unsere Empfehlung

• Alle FortiSandbox-Instanzen inventarisieren, einschliesslich PaaS- und Cloud-Bereitstellungen.
• Appliances der Version 4.4.x auf die neueste korrigierte 4.4.x-Version aktualisieren, mindestens auf 4.4.9.
• Die Management-Schnittstelle vom Internet trennen und den Zugriff auf vertrauenswürdige Hosts beschränken.
• Logs prüfen auf unerwartete Prozesse, unbekannte HTTP-Anfragen an die API und in das Web-Root geschriebene Dateien.
• Prüfen, ob das Gerät vor dem Patchen exponiert war, da die Ausnutzung vor der Korrektur begonnen haben kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (7 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  samu-delucas/CVE-2026-39808 · 0xBlackash/CVE-2026-39808 · ynsmroztas/FortiSandbox-RCE-Exploit-CVE-2026-39808 · HORKimhab/CVE-2026-39808 · error-inside/CVE-2026-39808

Quellen der Recherche

• Fortinet PSIRT FG-IR-26-100 fortiguard.fortinet.com
• NVD: CVE-2026-39808 nvd.nist.gov
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA alert, 16 July 2026 www.cisa.gov
• PoC reference repository github.com
• CrowdSec vulnerability report www.crowdsec.net
• Arctic Wolf blog arcticwolf.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:54.