Fortinet FortiSandbox CVE-2026-25089: command injection non autenticata in RCE, ora sfruttata e in KEV

ACN ha aggiornato il 17 luglio un proprio alert dello scorso 10 giugno, e l'aggiornamento non è formale: la CVE-2026-25089 in Fortinet FortiSandbox è passata da vulnerabilità corretta a oggetto di sfruttamento attivo in rete. Si tratta di una OS command injection nell'interfaccia web dell'appliance, legata alla funzione di avvio VNC, che consente a un attaccante remoto e non autenticato di iniettare metacaratteri di shell tramite payload JSON in richieste HTTP e ottenere l'esecuzione di codice sul sistema. Il CVSS assegnato è 9.8, con vettore che indica attacco di rete, bassa complessità e nessun privilegio né interazione richiesti; alcune analisi riportano un 9.1 ricavato dall'advisory Fortinet, differenza che non cambia la classe di rischio.

La CISA ha inserito la CVE nel catalogo delle Known Exploited Vulnerabilities il 16 luglio 2026, e si tratta della terza falla di FortiSandbox a finire sotto sfruttamento attivo nel giro di due mesi, dopo la CVE-2026-39808 e la CVE-2026-39813. I primi tentativi di sfruttamento erano stati osservati già a metà giugno. FortiSandbox è la piattaforma di sandboxing che analizza file e URL sospetti per conto degli altri prodotti di sicurezza Fortinet: comprometterla significa ottenere accesso ai campioni analizzati, un punto di osservazione privilegiato sulla rete e una testa di ponte per il movimento laterale. Fortinet resta un bersaglio ricorrente, dopo lo sfruttamento di FortiClient EMS già trattato e l'uso di falle FortiOS nelle campagne ransomware Qilin e Akira che avevamo seguito.

Chi espone l'interfaccia di gestione di un FortiSandbox raggiungibile dalla rete deve considerarsi esposto e agire in fretta, tanto più che la scadenza fissata dalla CISA è ravvicinata. L'aggiornamento è disponibile da tempo: il nodo qui è la finestra di patch ancora aperta su appliance già installate, che l'ingresso in KEV rende ora urgente chiudere.

• Versioni affette: FortiSandbox 4.2.0–4.2.8, 4.4.0–4.4.8 e 5.0.0–5.0.5; FortiSandbox Cloud e PaaS 5.0.4–5.0.5.
• Azione raccomandata: aggiornare a FortiSandbox 4.4.9 o 5.0.6 (o successive), come da advisory Fortinet PSIRT, entro la scadenza KEV; limitare l'esposizione dell'interfaccia di gestione a reti fidate; verificare i log per richieste HTTP anomale verso la funzione VNC.
   

Fonti: ACN, NVD, The Register, Arctic Wolf