FortiSandboxのOSコマンドインジェクションの脆弱性の悪用
米国のCISAは、FortiSandboxの脆弱性CVE-2026-39808とCVE-2026-25089を、悪用が確認された脆弱性のカタログ（KEV）に加えた［9、10］。開発元のFortinetのアドバイザリでは、どちらも悪用の確認の欄（Known Exploited）が「No」のままである［1、2］。
脆弱性の内容
FortinetのFG-IR-26-100によると、CVE-2026-39808はFortiSandboxのAPIのエンドポイントを通じたOSコマンドインジェクション（CWE-78）である［1］。認証されていない攻撃者が、細工したHTTPリクエストで許可されていないコードやコマンドを実行しうる［1］。Fortinetは、この脆弱性を責任ある開示で報告したKPMG Spainの研究者に謝意を示した［1］。
FortinetのFG-IR-26-141の説明では、CVE-2026-25089はFortiSandbox、FortiSandbox Cloud、FortiSandbox PaaSのWEB UIのOSコマンドインジェクション（CWE-78）である［2］。認証されていない攻撃者が、特別に細工したHTTPリクエストで許可されていないコマンドを実行しうる［2］。発見したのはFortinetのProduct Securityチームで、社内での発見だった［2］。
| 項目 | CVE-2026-39808 | CVE-2026-25089 | 資料 |
|---|---|---|---|
| アドバイザリ | FG-IR-26-100 | FG-IR-26-141 | ［1、2］ |
| 題 | OS Command Injection through API endpoint | Second-Order OS Command Injection via JSON Input on start vnc feature | ［1、2］ |
| Component | API | GUI | ［1、2］ |
| Severity | Critical | Critical | ［1、2］ |
| CVSSv3（Fortinet） | 9.8 | 9.8 | ［1、2］ |
| CVSS 3.1（CVEレコード） | 9.1 | 9.1（ベクトルにE:F/RL:O/RC:Cを含む） | ［7、8］ |
Fortinetは、FortiSandboxのJRPC APIのパストラバーサル（CWE-24）をFG-IR-26-112でCVE-2026-39813として公表した［15］。認証されていない攻撃者が、細工したHTTPリクエストで認証を回避しうる［15］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Fortinet | FortiSandbox 5.0.6のリリースノートの初版を出した | ［6］ |
| 2026年 | Fortinet | FortiSandbox 4.4.9のリリースノートの初版を出した | ［4］ |
| 2026年 | Fortinet | FG-IR-26-100（CVE-2026-39808）とFG-IR-26-112（CVE-2026-39813）を公開した | ［1、15］ |
| 2026年 | シンガポールのCSA | CVE-2026-39808とCVE-2026-39813について、利用者と管理者に最新版への即時の更新を勧めた | ［16］ |
| 2026年 | CISA | CVE-2026-39808の記録の参照にGitHubのリポジトリを加えた | ［12］ |
| 2026年 | Fortinet | FG-IR-26-141（CVE-2026-25089）を公開した | ［2］ |
| 2026年 | Previdian | CVE-2026-39808を狙う悪用の試行をセンサーで初めて観測した | ［18］ |
| 2026年 | Defused | 3件の脆弱性の悪用を警告した | ［22］ |
| 2026年 | JPCERT/CC | Weekly ReportでFG-IR-26-141を情報源に挙げ、修正済みの版への更新で問題が解決するとした | ［13］ |
| 2026年 | 香港のGovCERT.HK | 「High Threat」の警報を出した | ［17］ |
| 2026年 | CrowdSec | CVE-2026-39808の検知ルールを公開し、最初の悪用の試行を観測した | ［20］ |
| 2026年 | CISA | 2件をKEVに加え、対応の期限を2026年7月19日とした | ［9、10］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| FortiSandbox 4.4（CVE-2026-39808、CVE-2026-25089） | 4.4.0〜4.4.8 | 4.4.9以上 | ［1、2］ |
| FortiSandbox 5.0（CVE-2026-25089） | 5.0.0〜5.0.5 | 5.0.6以上 | ［2］ |
| FortiSandbox Cloud 5.0・FortiSandbox PaaS 5.0（CVE-2026-25089） | 5.0.4〜5.0.5 | 5.0.6以上 | ［2］ |
Fortinetは、CVE-2026-39808はFortiSandbox 5.0に影響せず、FortiSandbox PaaS 5.0の利用者は対応が要らないとした〔注1〕［1］。CVE-2026-25089の影響を受けない製品には、FortiSandbox 5.2、FortiSandbox Cloud 5.2・4.4、FortiSandbox PaaS 23.4・5.2・4.4を挙げた〔注2〕［2］。Fortinetの文書の一覧では、FortiSandboxの系列は2.5から5.2までである［14］。
悪用の状況
Help Net Securityは、CVE-2026-39813とCVE-2026-39808の修正を伝えた4月16日の記事で、悪用の兆候は無いと報じた［21］。
Previdian（旧KEVIntel）のCVE-2026-39808の項目ページによると、同社のセンサーはこの脆弱性を狙う悪用の試行を150回観測した［18］。攻撃元のIPアドレスは49件、国は20か国で、最後の観測は10月28日だった［18］。Previdianは、観測したのは試行で、標的が脆弱だったことや試行が成功したことを示すものではないと説明した［18］。CVE-2026-25089の項目ページでは、悪用の試行の報告は第三者（All CISA Advisories）によるもので、同社のセンサーの観測の記録は無い［19］。
Help Net Securityは6月16日の記事で、脅威インテリジェンス企業のDefusedがCVE-2026-39813、CVE-2026-39808、CVE-2026-25089の悪用を警告したと報じた［22］。Defusedは、うち1件の攻撃コードは「vibecoded」で、不具合がある可能性が高いと述べた［22］。記事は、攻撃の詳細は明らかでなく、開発元は悪用を確認していないとも伝えた［22］。
SecurityWeekの6月17日の記事によると、Defusedのハニーポットは同じ脆弱性を狙う悪用の試行を観測していた［23］。Defusedは、CVE-2026-25089の攻撃コードはAIで作られたとみられ、最初に観測したときは動かなかったと述べた［23］。同じ記事は、DefusedとKEVIntelの両社が6月15日にCVE-2026-39813を狙う攻撃を観測したと報じた［23］。
The Hacker Newsは、DefusedがXの投稿で過去24時間にこれらの脆弱性の悪用を観測したと述べ、CVE-2026-25089の動く攻撃コードは公開されていないと報じた［24］。
CrowdSecの6月29日の報告では、同社のネットワークはCVE-2026-39808を探る悪意のあるIPアドレス49件を追跡し、段階を「Early Exploitation」とした［20］。攻撃者は、表3のエンドポイントのjidパラメータにシェルのメタ文字を挿入する［20］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| エンドポイント | /fortisandbox/job-detail/tracer-behavior | CrowdSec | ［20］ |
| 挿入するパラメータ | jid | CrowdSec | ［20］ |
香港のGovCERT.HKは警報で、CVE-2026-39808とCVE-2026-39813のPoCが公開されているとの報告があり、悪用の危険が高いとした［17］。CISAがCVE-2026-39808の記録に加えたGitHubのリポジトリの参照には、「exploit」の印が付いている［8］。
CISAがADPとして6月17日に登録したSSVCの評価では、「Exploitation」はCVE-2026-25089が「none」、CVE-2026-39808が「poc」だった［11、12］。CISAはKEVの参照を加えた7月16日の変更で、どちらも「active」に改めた［11、12］。Security NEXTとSecurity Affairsは、CISAがこのときKEVに加えた3件にはSharePointのCVE-2026-58644も含まれると報じた［26、27］。
修正と回避策
Fortinetのアドバイザリでは、表2の修正版以上への更新が対策である［1、2］。4.4.9と5.0.6のリリースノートには、どちらもCVE-2026-25089の影響を受けなくなったとの記載がある（Bug ID 1245690）〔注3〕［3、5］。
未公表の事項
- CISAがKEVへの追加の根拠とした悪用の事例
- 悪用された組織と機器の数
- 悪用の主体
- CVE-2026-25089の悪用の手口
注
- 〔注1〕CVE-2026-39808のCVEレコードは、FortiSandbox PaaSの23.4.4374など9つの版を影響を受ける版とし、対策にPaaS 5.0.2以上への更新を挙げる［8］。
- 〔注2〕CVE-2026-25089のCVEレコードの説明は対象に「FortiSandbox 4.2 all versions」を含み、NVDの初回の分析の構成も4.2.0から4.2.8を含む［7、11］。
- 〔注3〕4.4.9のリリースノートに並ぶ修正済みのCVEは4件で、CVE-2026-39808は含まれない［3］。NVDの初回の分析の構成は4.4.0から4.4.9までを含む［12］。
出典
当事者
- ［1］Fortinet, Inc.『OS Command Injection through API endpoint』（2026年4月14日公開）
- ［2］Fortinet, Inc.『Second-Order OS Command Injection via JSON Input on start vnc feature』（2026年6月9日公開）
- ［3］Fortinet, Inc.『FortiSandbox 4.4.9 Release Notes: Resolved Issues』（2026年4月6日公開、2026年8月9日更新）
- ［4］Fortinet, Inc.『FortiSandbox 4.4.9 Release Notes: Change Log』（2026年4月6日公開、2026年8月9日更新）
- ［5］Fortinet, Inc.『FortiSandbox 5.0.6 Release Notes: Resolved Issues』（2026年3月24日公開、2026年9月8日更新）
- ［6］Fortinet, Inc.『FortiSandbox 5.0.6 Release Notes: Change Log』（2026年3月24日公開、2026年9月8日更新）
- ［15］Fortinet, Inc.『Unauthenticated Authentication bypass and Privilege escalation in FortiSandbox』（2026年4月14日公開）
公的機関
- ［7］CVE Program『CVE-2026-25089』（2026年6月9日公開、2026年7月17日更新）
- ［8］CVE Program『CVE-2026-39808』（2026年4月14日公開、2026年7月17日更新）
- ［9］National Institute of Standards and Technology『CVE-2026-25089』（2026年6月9日公開、2026年7月23日更新）
- ［10］National Institute of Standards and Technology『CVE-2026-39808』（2026年4月14日公開、2026年10月26日更新）
- ［11］National Institute of Standards and Technology『CVE-2026-25089』（2026年6月9日公開、2026年7月23日更新）
- ［12］National Institute of Standards and Technology『CVE-2026-39808』（2026年4月14日公開、2026年10月26日更新）
- ［13］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC WEEKLY REPORT 2026-06-17』（2026年6月17日公開）
- ［16］Cyber Security Agency of Singapore『Critical Vulnerabilities in Fortinet Product』（2026年4月16日公開）
- ［17］Hong Kong Government Computer Emergency Response Team Coordination Centre『High Threat Security Alert (A26-06-33): Multiple Vulnerabilities in Fortinet FortiSandbox』（2026年6月17日公開）
調査・観測
- ［18］Previdian『CVE-2026-39808 Exploitation Attempts Observed — FortiSandbox』（公開日不明、2026年11月5日閲覧）
- ［19］Previdian『CVE-2026-25089』（公開日不明、2026年11月5日閲覧）
- ［20］CrowdSec SAS『CVE-2026-39808: Fortinet FortiSandbox Command Injection Under Active Exploitation』（2026年6月29日公開、2026年10月16日更新）
報道機関
- ［21］Help Net Security『Fortinet fixes critical FortiSandbox vulnerabilities (CVE-2026-39813, CVE-2026-39808)』（2026年4月16日公開）
- ［22］Help Net Security『Attackers are exploiting FortiSandbox vulnerabilities』（2026年6月16日公開）
- ［23］Wired Business Media『3 Recently Patched Fortinet FortiSandbox Vulnerabilities in Hacker Crosshairs』（2026年6月17日公開）
- ［24］The Hacker News『Attackers Exploit Three Fortinet FortiSandbox Flaws, One Patched Last Week』（2026年6月16日公開、2026年6月19日更新）
- ［26］株式会社ニュースガイア『米CISA、「FortiSandbox」「SharePoint」の脆弱性悪用を警告』（2026年7月17日公開）
- ［27］Security Affairs『U.S. CISA adds Fortinet FortiSandbox and Microsoft SharePoint flaws to its Known Exploited Vulnerabilities catalog』（2026年7月18日公開、2026年7月22日更新）
背景資料
- ［14］Fortinet, Inc.『FortiSandbox』（公開日不明、2026年11月5日閲覧）
更新記録
- 2026年8月6日：公開した。
- 2026年8月9日：Fortinetの4.4.9のリリースノートの8月9日の更新版（出典3、4）を加え、「修正と回避策」と「時系列」を改めた。
- 2026年9月8日：Fortinetの5.0.6のリリースノートの9月8日の更新版（出典5、6）を加え、「修正と回避策」と「時系列」を改めた。
- 2026年10月16日：CrowdSecの報告の10月16日の更新版（出典20）を加え、「悪用の状況」と「時系列」を改めた。
- 2026年10月26日：NVDのCVE-2026-39808の記録と変更履歴の10月26日の更新版（出典10、12）を加え、「時系列」と「修正と回避策」の注を改めた。