Fortinet FortiSandbox: Mehrere Schwachstellen
WID-SEC-2026-1094 · primera publicación 15.04.2026 · actualizado 16.06.2026 · CVSS 9,8
De qué se trata
FortiSandbox ist eine Advanced Threat Detection Appliance. Ein Angreifer kann mehrere Schwachstellen in Fortinet FortiSandbox ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen, Informationen offenzulegen, Sicherheitsmaßnahmen zu umgehen und Code zur Ausführung zu bringen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- einen Cross-Site Scripting Angriff durchzuführen
- Informationen offenzulegen
- Sicherheitsmaßnahmen zu umgehen
- Code zur Ausführung zu bringen
¿Me afecta?
Afectados según el BSI:
- Fortinet FortiSandbox <5.0.5
- Fortinet FortiSandbox <4.4.9
- Fortinet FortiSandbox <5.0.6
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Fortinet FortiSandbox 5.0.5
- Fortinet FortiSandbox 4.4.9
- Fortinet FortiSandbox 5.0.6
¿Se está explotando ya la vulnerabilidad?
- CVE-2026-39808: explotada en la práctica según la CISA, en el catálogo desde el 16.07.2026.
Información y fuentes
- Aviso original del BSI (WID)
- FortiGuard Labs PSIRT Advisory FG-IR-26-100 vom 2026-04-14 www.fortiguard.com
- FortiGuard Labs PSIRT Advisory FG-IR-26-109 vom 2026-04-14 www.fortiguard.com
- FortiGuard Labs PSIRT Advisory FG-IR-26-110 vom 2026-04-14 www.fortiguard.com
- FortiGuard Labs PSIRT Advisory FG-IR-26-112 vom 2026-04-14 www.fortiguard.com
- FortiGuard Labs PSIRT Advisory FG-IR-26-113 vom 2026-04-14 www.fortiguard.com
- FortiGuard Labs PSIRT Advisory FG-IR-26-115 vom 2026-04-14 www.fortiguard.com
- PoC CVE-2026-39808 vom 2026-04-20 github.com
- Bleeping Computer vom 2026-06-15 www.bleepingcomputer.com
CVE: CVE-2025-61886, CVE-2026-39812, CVE-2026-27316, CVE-2026-39808, CVE-2026-25691, CVE-2026-39813
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.