A CISA confirmou exploração ativa da falha FortiSandbox CVE-2026-25089 e da CVE-2026-39808, adicionando ambas ao catálogo de Vulnerabilidades Conhecidas como Exploradas em 16 de julho de 2026, com prazo de remediação federal em 19 de julho de 2026. Para o SOC, isso reclassifica qualquer instância FortiSandbox 4.4.x ou 5.0.x como alvo de campanha ativa. A ação imediata é aplicar FortiSandbox 4.4.9 ou 5.0.6, restringir a interface web de gestão e caçar artefatos de execução de comando não autenticada.
Como funcionam as duas falhas
O CVE-2026-25089 é uma injeção de comando do sistema operacional na interface web do FortiSandbox, classificada como CWE-78 no aviso oficial FG-IR-26-141 do Fortinet PSIRT. A falha reside no recurso de início de sessão VNC e permite que um atacante não autenticado execute comandos não autorizados por meio de requisições HTTP especialmente criadas. O pesquisador Adham El Karn, da equipe de segurança de produto da Fortinet, identificou o problema, com publicação inicial do aviso em 9 de junho de 2026. A linha 5.0 também é afetada nas versões de 5.0.0 até 5.0.5, além das edições Cloud e PaaS entre 5.0.4 e 5.0.5.
O CVE-2026-39808 ataca o componente de API do FortiSandbox por meio do mesmo tipo de injeção de comando, conforme o aviso FG-IR-26-100. Samuel de Lucas Maroto, da KPMG Espanha, reportou a vulnerabilidade sob divulgação responsável, e a publicação inicial do aviso ocorreu em 14 de abril de 2026. A falha afeta as versões de 4.4.0 até 4.4.8 e possui prova de conceito pública divulgada em abril. O fabricante confirma que um atacante não autenticado pode executar código ou comandos não autorizados explorando essa vulnerabilidade.
Versões afetadas e correção
A tabela resume o escopo confirmado pelos advisories do fabricante e os releases de correção. Organizações que operam FortiSandbox Cloud ou PaaS devem verificar separadamente as versões hospedadas, pois essas variantes compartilham o código vulnerável da linha 5.0.
| Produto | Versões afetadas | Correção |
|---|---|---|
| FortiSandbox 4.4 | 4.4.0 a 4.4.8 | 4.4.9 ou superior |
| FortiSandbox 5.0 | 5.0.0 a 5.0.5 | 5.0.6 ou superior |
| FortiSandbox Cloud 5.0 | 5.0.4 a 5.0.5 | 5.0.6 ou superior |
| FortiSandbox PaaS 5.0 | 5.0.4 a 5.0.5 | 5.0.6 ou superior |
A linha 4.2 aparece como afetada no registro CVE, mas o advisory FG-IR-26-141 não fornece caminho de remediação para essa versão. Equipes que ainda executam FortiSandbox 4.2 precisam contatar a Fortinet para orientação de migração suportada.
Sinais de exploração no SOC
A inclusão no catálogo KEV significa que a CISA possui evidência independente de exploração no mundo real, confirmada em 16 de julho de 2026. A firma de inteligência Defused relatou tentativas de exploração contra as duas falhas nas 24 horas anteriores à atualização do catálogo. Como o fabricante ainda não publicou indicadores de comprometimento validados, o SOC deve priorizar a revisão de logs de acesso à interface web por requisições incomuns a endpoints de VNC e por execução de comando suspeita.
A detecção comportamental baseada em linhagem de processos é o controle mais confiável neste momento. Requisições que injetam metacaracteres de shell no parâmetro vulnerável geram processos filhos no contexto do appliance, padrão que regras de correlação do SIEM capturam quando há telemetria de endpoint. A engenharia de detecção mapeada ao MITRE ATT&CK trata essa execução como técnica de comando remoto não autenticado.
Priorização de patch e prazo KEV
A diretriz BOD 26-04 exige que agências federais civis apliquem o patch ou desconectem os sistemas afetados até 19 de julho de 2026. Embora o mandato formal se aplique ao governo federal, o prazo funciona como sinal de prioridade para qualquer SOC, pois a CISA classifica a exploração como automatizável e de impacto técnico total. Se o governo impõe três dias para corrigir, o tempo médio de resposta do turno precisa caber nessa janela para ambientes críticos.
Até 17 de julho de 2026, a Fortinet não havia atualizado seus advisories para marcar as duas falhas como exploradas e não respondeu a consultas da imprensa especializada. Essa divergência reforça a decisão de priorizar o patch independentemente do estado do advisory do fabricante.
Risco de veredicto forjado
O FortiSandbox ocupa uma posição privilegiada na arquitetura de segurança porque entrega veredictos de arquivo limpo ou malicioso que produtos downstream da Fortinet usam para bloquear ou liberar conteúdo. Um FortiGate consulta o veredicto antes de decidir passar ou bloquear um arquivo; um FortiMail aguarda o resultado antes de liberar um anexo. Um FortiSandbox comprometido dá ao atacante a capacidade de manipular esses veredictos, marcando silenciosamente cargas maliciosas como limpas.
A campanha FortiBleed, atribuída pela SOCRadar ao grupo de ransomware Lynx/INC, comprometeu mais de 86.644 firewalls FortiGate expostos à internet em 194 países desde pelo menos fevereiro de 2026. Como os appliances FortiSandbox tipicamente residem no mesmo segmento de rede administrativa dos FortiGate já comprometidos, um atacante que mantém credenciais FortiGate válidas pode já ter acesso em nível de rede ao FortiSandbox.
Procedimento de resposta e contenção
A remediação segue a sequência recomendada pela Fortinet e pela CISA: aplicar a versão corrigida, restringir a exposição da interface web e investigar integrações downstream. Organizações que concluíram a remediação do FortiBleed ainda precisam aplicar o patch do FortiSandbox separadamente, pois as duas trilhas de correção são independentes.
- Inventariar todas as instâncias FortiSandbox, incluindo Cloud e PaaS, e registrar a versão de cada appliance.
- Aplicar FortiSandbox 4.4.9 ou 5.0.6 e confirmar a instalação em todos os nós.
- Restringir o acesso à interface web a redes de gestão dedicadas ou bastion hosts com autenticação multifator.
- Revisar logs de acesso à interface web por requisições incomuns a endpoints de VNC e por execução de comando suspeita.
- Verificar integrações downstream em FortiGate, FortiMail e FortiProxy por veredictos ou mudanças de configuração inesperadas.
- Ao detectar artefatos de exploração, isolar o host, preservar evidências para perícia e investigar movimento lateral.
Fontes
- Fortinet PSIRT — FG-IR-26-141 (CVE-2026-25089)
- Fortinet PSIRT — FG-IR-26-100 (CVE-2026-39808)
- CISA — Catálogo de Vulnerabilidades Conhecidas como Exploradas
- SOCRadar — FortiBleed: 86.644 firewalls comprometidos
- TechTimes — FortiSandbox Exploited in Wild
- SecurityOnline — CISA KEV Adds 3 Exploited RCE Flaws
- ToolsLib — CVE-2026-25089 FortiSandbox
