Über einen Schnittstellen-Aufruf der FortiSandbox kann ein Angreifer ohne Anmeldung eigene Betriebssystem-Befehle ausführen. Ein Proof-of-Concept liegt seit der Veröffentlichung im April 2026 öffentlich auf GitHub; seit dem 12. Juni 2026 werden Angriffsversuche beobachtet. CISA hat die Schwachstelle am 16.07.2026 in den Katalog aktiv ausgenutzter Schwachstellen aufgenommen.
Advisory als PDF herunterladenEine Programmierschnittstelle der FortiSandbox übergibt einen Wert aus der HTTP-Anfrage an einen Betriebssystem-Aufruf, ohne Sonderzeichen zu neutralisieren (CWE-78). Wer die Schnittstelle über das Netz erreicht, hängt an einen regulären Parameter eigene Kommandos an – ohne Anmeldung und mit den Rechten des ausführenden Dienstes. Anders als bei vielen Perimeter-Lücken existiert hier bereits seit der Veröffentlichung ein öffentlich abrufbarer Exploit.
| FortiSandbox-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 4.4 (Appliance) | 4.4.0 – 4.4.8 | 4.4.9 |
| 5.0 (Appliance) | nicht betroffen | — |
| PaaS 5.0 | nicht betroffen | — |
| PaaS (ältere Builds) | 21.3.4055 – 23.4.4374 (NVD) | Stand mit Fortinet abstimmen |
Das Hersteller-Advisory FG-IR-26-100 führt ausschließlich den 4.4-Zweig als betroffen; die NVD-Produktliste nennt zusätzlich ältere PaaS-Builds (21.3.4055-23.4.4374). Für gehostete Instanzen deshalb den Versionsstand aktiv beim Hersteller erfragen statt aus der Advisory-Tabelle abzuleiten. Exakte Build-Stände immer gegen FG-IR-26-100 prüfen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf ein System, das Datei-Anhänge und Schadcode-Proben verarbeitet, kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Erreichbarkeit einschränken vor Patch, Patch vor Entwarnung.
4.4.0-4.4.8; der 5.0-Zweig ist nach Herstellerangabe nicht betroffen. Für gehostete PaaS-Instanzen den Build-Stand beim Hersteller erfragen – die NVD-Liste nennt dort abweichende ältere Stände.4.4.9 oder höher aktualisieren. Wer ohnehin einen Versionswechsel plant: Der 5.0-Zweig ist von dieser Schwachstelle nicht betroffen – wohl aber von CVE-2026-25089, dort ist 5.0.6 die Fixversion. Beide Advisories zusammen einplanen.HTTPS/443 – Aufrufe ohne vorherige Anmeldung| ; & $( ) ` · ungewöhnlich lange ParameterwerteZur Einordnung: Fortinet hat zu dieser Schwachstelle keine IP-Adressen oder Signaturen veröffentlicht. Zum betroffenen Endpunkt kursieren öffentlich technische Analysen; wir führen hier bewusst nur die vom Hersteller und aus der Log-Praxis belastbaren Suchhinweise. Sie sind kein abschließender Nachweis und kein Ersatz für eine forensische Prüfung bei konkretem Verdacht.
Wichtig: Der öffentliche Proof-of-Concept liegt seit April 2026 vor – der relevante Prüfzeitraum beginnt also mit der Veröffentlichung, nicht mit der KEV-Aufnahme im Juli. Wer nur „seit letzter Woche" in die Logs schaut, sieht die entscheidenden Monate nicht.
Fortinet PSIRT Advisory FG-IR-26-100 · NVD CVE-2026-39808 · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 16.07.2026, Frist 19.07.2026) · Berichte zu beobachteten Angriffsversuchen (KEVIntel, Defused). Angaben nach bestem Wissen zum Stand 27.07.2026; Fixversionen und Build-Stände gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unauthentifizierte API-Aufrufe mit Shell-Sonderzeichen und anomale Prozess- oder Netzaktivität des Analyse-Systems. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.