SECURITY ADVISORY

Unauthentifizierte Befehlsausführung in Fortinet FortiSandbox

Ein Angreifer ohne jede Anmeldung kann über speziell gebaute HTTP-Anfragen an die Web-Oberfläche von FortiSandbox Betriebssystem-Befehle ausführen. Betroffen sind Appliance, Cloud und PaaS. CISA hat die Schwachstelle am 16.07.2026 in den Katalog aktiv ausgenutzter Schwachstellen aufgenommen – mit Umsetzungsfrist 19.07.2026 für US-Bundesbehörden.

CVE-ID

CVE-2026-25089

CVSS

9,8

Schweregrad

Kritisch

Hersteller

Fortinet

Produkt

FortiSandbox (Appliance, Cloud, PaaS)

Veröffentlicht

27.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Die Web-Oberfläche von FortiSandbox übergibt Inhalte aus einer JSON-Eingabe der „Start VNC"-Funktion an einen Betriebssystem-Aufruf, ohne Sonderzeichen zu neutralisieren (CWE-78, Second-Order OS Command Injection). Wer den Dienst über das Netz erreicht, kann so ohne gültige Anmeldedaten eigene Befehle auf dem System ausführen lassen – über HTTP-Anfragen, die für die Anwendung wie regulärer Verkehr aussehen.

Angriffskette

  1. Oberfläche erreichbar – FortiSandbox-Web-UI (443) aus einem nicht vertrauenswürdigen Netz aufrufbar
  2. Anfrage präparieren – Sonderzeichen in der JSON-Eingabe der VNC-Funktion
  3. Befehl ausführen – das System führt untergeschobene Kommandos aus, ohne Anmeldung
  4. Zugriff verfestigen – Analyse-Daten abgreifen, Konfiguration ändern, weiter ins Netz

Betroffene Versionen und Fixes

FortiSandbox-ZweigVerwundbarFixversion
5.0 (Appliance)5.0.0 – 5.0.55.0.6
4.4 (Appliance)4.4.0 – 4.4.84.4.9
4.2 (Appliance)alle VersionenMigration auf 4.4.9 / 5.0.6
Cloud 5.05.0.4 – 5.0.55.0.6
PaaS 5.05.0.4 – 5.0.55.0.6
5.2 · Cloud 5.2/4.4 · PaaS 23.4/5.2/4.4nicht betroffen

Für den 4.2-Zweig nennt das Hersteller-Advisory keine eigene Fixversion – hier ist ein Wechsel auf einen gepflegten Zweig der Weg. Cloud- und PaaS-Instanzen aktualisiert Fortinet nicht automatisch für Sie: Version und Rollout-Stand aktiv mit dem Hersteller abgleichen. Exakte Build-Stände immer gegen FG-IR-26-141 prüfen.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf ein System, das Datei-Anhänge und Schadcode-Proben verarbeitet, kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 09.06.2026 – Fortinet veröffentlicht FG-IR-26-141 (Fix 4.4.9 / 5.0.6)
  • Juni 2026 – Erste Angriffsversuche berichtet (Defused) – Exploit-Code zunächst fehlerhaft
  • 16.07.2026 – Aufnahme in den CISA-KEV-Katalog
  • 19.07.2026 – CISA-Umsetzungsfrist für US-Bundesbehörden abgelaufen

Maßnahmenplan

In dieser Reihenfolge – Erreichbarkeit einschränken vor Patch, Patch vor Entwarnung.

  • Sofort: Management-Zugang abschotten
  • Kurzfristig: Patch einspielen
  • Parallel: Log-Auswertung / Threat Hunting
  1. Betroffenheit feststellen
    Version aller FortiSandbox-Systeme erheben – Appliance, Cloud und PaaS getrennt. Betroffen sind 4.2 (alle), 4.4.0-4.4.8, 5.0.0-5.0.5 sowie Cloud/PaaS 5.0.4-5.0.5. Der 5.2-Zweig ist nach Herstellerangabe nicht betroffen.
  2. Erreichbarkeit sofort einschränken
    Die Web-Oberfläche (HTTPS/443) gehört nicht ins Internet. Zugriff auf ein dediziertes Management-Netz oder Sprungsysteme mit Mehr-Faktor-Anmeldung begrenzen – das ist die wirksame Sofortmaßnahme, solange der Patch aussteht. Fortinet nennt für diese Schwachstelle keinen dedizierten Workaround.
  3. Patchen
    Auf die Fixversion des eigenen Zweigs aktualisieren: 4.4.9 bzw. 5.0.6 oder höher. Für den 4.2-Zweig existiert kein Fix – hier ist die Migration auf einen gepflegten Zweig einzuplanen.
  4. Kompromittierung ausschließen
    Zugriffs-Logs der Web-Oberfläche auf unerwartete Anfragen an VNC-nahe Funktionen prüfen, dazu neue oder veränderte Benutzerkonten, geänderte Systemkonfiguration und unerwartete ausgehende Verbindungen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Cloud- und PaaS-Instanzen gesondert klären
    Für gehostete Instanzen den Patch-Stand schriftlich mit Fortinet bzw. Ihrem Betreiber abstimmen und das Ergebnis dokumentieren – bei aktiv ausgenutzten Schwachstellen gehört dieser Nachweis in die Vorfalls- und Compliance-Akte.

Kompromittierungs-Indikatoren

  • Wo suchen: Zugriffs-Logs der Web-Oberfläche
    HTTPS/443 – Anfragen an VNC-nahe Funktionen
  • Auffällige Muster: Shell-Sonderzeichen in HTTP-Parametern
    | ; & $( ) ` · Anfragen ohne vorherige Anmeldung
  • Folgespuren: neue/veränderte Konten · geänderte Systemkonfiguration
    unerwartete ausgehende Verbindungen vom Sandbox-System

Zur Einordnung: Fortinet hat zu dieser Schwachstelle keine IP-Adressen oder Signaturen veröffentlicht; belastbare Indikatoren aus der beobachteten Aktivität liegen öffentlich nicht vor. Die genannten Muster sind Suchhinweise für Ihre eigene Log-Auswertung – kein abschließender Nachweis und kein Ersatz für eine forensische Prüfung bei konkretem Verdacht.

Wichtig: FortiSandbox verarbeitet genau die Dateien, die Sie für verdächtig halten. Wer das System übernimmt, sieht Ihre Analyse-Ergebnisse, kann Bewertungen manipulieren und steht in einem Segment, dem Ihre übrigen Systeme vertrauen. Ohne Auswertung der Zugriffs-Logs bleibt ein bereits erfolgter Zugriff unsichtbar.

Empfehlung für die Geschäftsleitung

  • Erreichbarkeit der Management-Oberfläche heute einschränken, Patch kurzfristig einplanen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.
  • Patch-Stand der Cloud-/PaaS-Instanzen schriftlich beim Hersteller bestätigen lassen.

Primärquellen

Fortinet PSIRT Advisory FG-IR-26-141 · NVD CVE-2026-25089 · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 16.07.2026) · Berichte zu beobachteten Angriffsversuchen (Defused, KEVIntel). Angaben nach bestem Wissen zum Stand 27.07.2026; Fixversionen und Build-Stände gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unauthentifizierte Anfragen an die Sandbox-Oberfläche und anomale Prozess- oder Netzaktivität des Analyse-Systems. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.