Fortinet FortiSandbox: Mehrere Schwachstellen
WID-SEC-2026-1094 · première publication 15.04.2026 · mise à jour 16.06.2026 · CVSS 9,8
De quoi il s’agit
FortiSandbox ist eine Advanced Threat Detection Appliance. Ein Angreifer kann mehrere Schwachstellen in Fortinet FortiSandbox ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen, Informationen offenzulegen, Sicherheitsmaßnahmen zu umgehen und Code zur Ausführung zu bringen.
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- einen Cross-Site Scripting Angriff durchzuführen
- Informationen offenzulegen
- Sicherheitsmaßnahmen zu umgehen
- Code zur Ausführung zu bringen
Suis-je concerné ?
Concernés selon le BSI :
- Fortinet FortiSandbox <5.0.5
- Fortinet FortiSandbox <4.4.9
- Fortinet FortiSandbox <5.0.6
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Fortinet FortiSandbox 5.0.5
- Fortinet FortiSandbox 4.4.9
- Fortinet FortiSandbox 5.0.6
La faille est-elle déjà exploitée ?
- CVE-2026-39808: exploitée dans la nature selon la CISA, au catalogue depuis le 16.07.2026.
Informations et sources
- Avis original du BSI (WID)
- FortiGuard Labs PSIRT Advisory FG-IR-26-100 vom 2026-04-14 www.fortiguard.com
- FortiGuard Labs PSIRT Advisory FG-IR-26-109 vom 2026-04-14 www.fortiguard.com
- FortiGuard Labs PSIRT Advisory FG-IR-26-110 vom 2026-04-14 www.fortiguard.com
- FortiGuard Labs PSIRT Advisory FG-IR-26-112 vom 2026-04-14 www.fortiguard.com
- FortiGuard Labs PSIRT Advisory FG-IR-26-113 vom 2026-04-14 www.fortiguard.com
- FortiGuard Labs PSIRT Advisory FG-IR-26-115 vom 2026-04-14 www.fortiguard.com
- PoC CVE-2026-39808 vom 2026-04-20 github.com
- Bleeping Computer vom 2026-06-15 www.bleepingcomputer.com
CVE: CVE-2025-61886, CVE-2026-39812, CVE-2026-27316, CVE-2026-39808, CVE-2026-25691, CVE-2026-39813
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.