Drei kritische Schwachstellen in Produkten der Fortinet FortiSandbox-Reihe – CVE-2026-39813, CVE-2026-39808 und CVE-2026-25089 – alle mit einem CVSS-Score von 9.1, haben die Aufmerksamkeit der Cybersecurity-Community auf sich gezogen, nachdem das Unternehmen Defused Cyber berichtete, Versuche der Ausnutzung zu beobachten. Die Schwachstellen ermöglichen es einem nicht authentifizierten Angreifer, die Authentifizierung zu umgehen und beliebige Befehle auf Betriebssystemebene auszuführen. Organisationen, die FortiSandbox, FortiSandbox Cloud und FortiSandbox PaaS einsetzen, müssen den Update-Status umgehend prüfen.
Technische Details der Schwachstellen
CVE-2026-39813 — Authentifizierungs-Bypass über path traversal
Eine path traversal-Schwachstelle in der JRPC-API der FortiSandbox-Komponente. Laut NVD ermöglicht sie einem nicht authentifizierten Angreifer, den Authentifizierungsmechanismus mittels speziell gestalteter HTTP-Anfragen zu umgehen. Der CVSS-Score beträgt 9.1. Nach vorliegenden Informationen wurde der Patch von Fortinet im April 2026 veröffentlicht.
CVE-2026-39808 — OS command injection
Die zweite Schwachstelle stellt eine OS command injection dar, die, wie im NVD-Eintrag angegeben, einem nicht authentifizierten Angreifer die Ausführung nicht autorisierten Codes oder Befehle über speziell gestaltete HTTP-Anfragen ermöglicht. Der CVSS-Score beträgt 9.1. Berichten zufolge wurde die Korrektur ebenfalls im April 2026 veröffentlicht.
CVE-2026-25089 — command injection in mehreren Produkten
Die dritte Schwachstelle ist ein weiterer Fall von OS command injection, betrifft jedoch einen größeren Kreis betroffener Produkte. Laut NVD betrifft sie:
- FortiSandbox
- FortiSandbox Cloud
- FortiSandbox PaaS WEB UI
Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, nicht autorisierte Befehle über speziell gestaltete HTTP-Anfragen auszuführen. Der CVSS-Score beträgt 9.1. Dem Ausgangsmaterial zufolge wurde der Patch für diese Schwachstelle später veröffentlicht als die übrigen.
Exploitatonsstatus und wichtige Vorbehalte
Es ist zu betonen: Die Aussagen zur aktiven Ausnutzung dieser Schwachstellen stützen sich auf einen einzigen Beitrag des Unternehmens Defused Cyber im sozialen Netzwerk X. Keine der drei CVEs ist im CISA-KEV-Katalog (Known Exploited Vulnerabilities) aufgeführt. Eine unabhängige Bestätigung für eine Ausnutzung in freier Wildbahn liegt zum Zeitpunkt der Veröffentlichung nicht vor. Das bedeutet nicht, dass Exploit-Versuche ausgeschlossen sind – die Kritikalität der Schwachstellen (CVSS 9.1, keine erforderliche Authentifizierung) macht sie zu attraktiven Zielen –, doch die Verlässlichkeit dieser Aussagen ist als gering einzustufen.
Besondere Beachtung verdient die Beobachtung von Defused Cyber, wonach der entdeckte Exploit für CVE-2026-25089 mutmaßlich mithilfe eines KI-Modells erstellt wurde und Fehler enthält, die ihn funktionsunfähig machen. Ein öffentlich verfügbarer funktionierender Exploit für diese Schwachstelle ist nach aktuellem Kenntnisstand nicht offengelegt. Allerdings stammen auch diese Aussagen aus einer einzigen, nicht verifizierten Quelle und bedürfen einer unabhängigen Bestätigung.
Kontext: Fortinet-Geräte als vorrangiges Ziel
Fortinet-Produkte gehören weiterhin zu den am häufigsten angegriffenen Zielen unter Netzwerkgeräten der Enterprise-Klasse. Im April 2026 veröffentlichte Fortinet Berichten zufolge außerplanmäßige Patches für die kritische Schwachstelle CVE-2026-35616 (CVSS 9.1) in FortiClient EMS, die laut Hersteller in freier Wildbahn ausgenutzt wurde. Der Eintrag zu dieser Schwachstelle ist in der NVD verfügbar.
Die Häufung mehrerer kritischer Schwachstellen in Produkten eines einzelnen Herstellers innerhalb kurzer Zeit ist ein alarmierendes Signal für Organisationen, die auf das Fortinet-Ökosystem zum Perimeterschutz und zur Analyse von Malware vertrauen.
Bewertung der Auswirkungen
FortiSandbox ist eine Schlüsselkomponente der Sicherheitsinfrastruktur, die für die dynamische Analyse verdächtiger Dateien und die Erkennung fortgeschrittener Bedrohungen eingesetzt wird. Die Kompromittierung dieses Geräts birgt ein doppeltes Risiko:
- Direkter Schaden: Die Ausführung beliebiger Befehle auf Betriebssystemebene verschafft einem Angreifer die vollständige Kontrolle über das Gerät, ermöglicht den Zugriff auf analysierte Samples und eröffnet einen Zugang zum internen Netzwerk.
- Erschütterung des Vertrauens in den Schutz: Eine kompromittierte Sandbox kann gezielt schädliche Dateien passieren lassen und so ein trügerisches Gefühl der Sicherheit erzeugen.
Am stärksten gefährdet sind große Organisationen und Managed Security Service Provider (MSSP), die FortiSandbox, FortiSandbox Cloud oder FortiSandbox PaaS für die zentrale Bedrohungsanalyse nutzen.
Praktische Empfehlungen
- Überprüfen Sie umgehend die Versionen aller FortiSandbox-, FortiSandbox-Cloud- und FortiSandbox-PaaS-Instanzen in Ihrer Infrastruktur. Konsultieren Sie die offiziellen Fortinet-Empfehlungen (PSIRT), um die genauen Versionsstände mit Fixes zu ermitteln.
- Wenden Sie verfügbare Patches an für CVE-2026-39813, CVE-2026-39808 und CVE-2026-25089 – mit höchster Priorität. Alle drei Schwachstellen erfordern für eine Ausnutzung keine Authentifizierung, was die Angriffshürde deutlich senkt.
- Beschränken Sie den Netzwerkzugang zu den Management-Schnittstellen von FortiSandbox. JRPC-API und WEB UI sollten nicht aus dem Internet erreichbar sein. Nutzen Sie Netzwerksegmentierung und Access-Control-Listen.
- Führen Sie eine Protokollprüfung durch auf ungewöhnliche HTTP-Anfragen an die JRPC-API und das Web-Interface von FortiSandbox, insbesondere auf Anfragen mit Anzeichen für path traversal oder atypische Parameter.
- Überprüfen Sie FortiClient EMS – falls dieses Produkt in Ihrer Infrastruktur eingesetzt wird, stellen Sie sicher, dass der Patch für CVE-2026-35616 ebenfalls installiert ist.
Drei Schwachstellen mit einem CVSS-Score von 9.1, die keine Authentifizierung erfordern und einen kritischen Bestandteil der Sicherheitsinfrastruktur betreffen, sind ein ausreichender Grund für umgehendes Patching – auch ohne bestätigte massenhafte Ausnutzung. Vorrangige Maßnahmen sind das Aktualisieren aller FortiSandbox-Instanzen auf fehlerbereinigte Versionen und die Beschränkung des Netzwerkzugangs zu den Management-Schnittstellen bis zum Abschluss der Updates.
