A CISA adicionou duas vulnerabilidades críticas de injeção de comando no FortiSandbox — CVE-2026-39808 e CVE-2026-25089 — ao catálogo de Vulnerabilidades Conhecidas como Exploradas (KEV) em 16 de julho de 2026, confirmando exploração ativa em ataques reais. Ambas as falhas permitem que um atacante não autenticado execute comandos arbitrários no sistema operacional do appliance por meio de requisições HTTP especialmente manipuladas, sem exigir credenciais válidas, sem exigir interação do usuário e sem necessidade de privilégios prévios no sistema alvo. A remediação exige atualizar todos os nós afetados do cluster para as versões corrigidas, completar a configuração pós-atualização em cada servidor e isolar a interface de gerenciamento de qualquer exposição à internet. O FortiSandbox é o appliance Fortinet que recebe arquivos e URLs suspeitos, detona-os em ambiente isolado e retorna verdicts que outros produtos da stack de segurança — como firewalls, gateways de e-mail e proxies — consomem para decisões automatizadas de bloqueio e resposta. Para o SOC, o comprometimento desse equipamento tem impacto em cascata sobre toda a arquitetura defensiva da organização, pois corrompe a fonte de confiança que orienta as decisões de dezenas de controles downstream.
Por que o sandbox é alvo
O FortiSandbox ocupa uma posição de confiança central na arquitetura de segurança de qualquer organização que utiliza a stack Fortinet. Produtos como FortiGate, FortiMail, FortiWeb e FortiProxy dependem de seus verdicts para decidir se bloqueiam ou liberam arquivos, anexos de e-mail e URLs em trânsito na rede. Um FortiGate consulta o resultado do sandbox antes de passar ou bloquear um arquivo; um FortiMail aguarda o verdict antes de liberar um anexo para o destinatário final; um playbook do FortiSOAR pode disparar uma resposta automatizada apenas quando o sandbox confirma uma ameaça. Diferente de comprometer uma estação de trabalho ou mesmo um firewall de perímetro, comprometer o FortiSandbox corrompe a autoridade de confiança da própria stack de segurança — o atacante ganha a capacidade de manipular os verdicts que os outros produtos utilizam para agir, marcando silenciosamente payloads maliciosos como limpos e abrindo caminho desimpedido para etapas subsequentes da invasão. Um sandbox é projetado para manipular conteúdo hostil por definição, o que torna uma falha de injeção de comando nesse componente particularmente perigosa. O SOC deve tratar o FortiSandbox como ativo crítico de tier zero, no mesmo nível de um domain controller ou de um servidor de gerenciamento de identidade.
As duas falhas de injeção
As duas vulnerabilidades compartilham a mesma classe de fraqueza subjacente: injeção de comando no sistema operacional (CWE-78), resultante da sanitização insuficiente de entradas fornecidas pelo usuário antes de passá-las ao interpretador de comandos do sistema. A CVE-2026-39808 reside no endpoint de API do FortiSandbox e afeta as versões 4.4.0 a 4.4.8, com correção disponível na versão 4.4.9 ou superior, conforme o aviso oficial FG-IR-26-100 publicado pela Fortinet em 14 de abril de 2026. A CrowdSec reportou que a falha permite injetar metacaracteres de shell no parâmetro de requisição, executando comandos com privilégios de sistema. A CVE-2026-25089 tem raio de ação significativamente mais amplo: afeta a interface web do FortiSandbox, do FortiSandbox Cloud e do FortiSandbox PaaS nas versões 4.4.0 a 4.4.8 e 5.0.0 a 5.0.5, com correção em 4.4.9 ou 5.0.6, segundo o aviso FG-IR-26-141 publicado em 9 de junho de 2026. O alcance dessa segunda falha em implantações Cloud e PaaS a torna relevante mesmo para organizações que migraram o sandboxing para fora do data center próprio.
| CVE | Componente afetado | Versões vulneráveis | Correção |
|---|---|---|---|
| CVE-2026-39808 | Endpoint de API | 4.4.0 – 4.4.8 | 4.4.9 ou superior |
| CVE-2026-25089 | Web UI, Cloud e PaaS | 4.4.0 – 4.4.8, 5.0.0 – 5.0.5 | 4.4.9 ou 5.0.6+ |
Prazo KEV e prioridade
A inclusão no KEV significa que a CISA possui evidência independente de exploração no mundo real, pois o catálogo é reservado exclusivamente para vulnerabilidades com exploração confirmada em ataques. A diretiva BOD 26-04 estabelece o prazo de remediação de 19 de julho de 2026 para agências civis do executivo federal dos Estados Unidos, apenas três dias após a inclusão no KEV em 16 de julho de 2026. Embora o mandato formal se aplique apenas a agências governamentais, o prazo funciona como sinal de prioridade para qualquer SOC, assim como ocorreu com o CVE-2026-58644 no SharePoint adicionado dias antes. A CrowdSec identificou 49 endereços IP maliciosos únicos sondando a CVE-2026-39808 já em meados de junho de 2026, e a Help Net Security reportou exploração ativa das três vulnerabilidades do FortiSandbox — incluindo uma terceira falha de path traversal — no mesmo período. O registro no NVD classifica ambas como automatable, com exploração ativa e impacto técnico total segundo o modelo SSVC, justificando tratar a remediação como prioridade máxima.
Procedimento de resposta
A sequência de remediação combina as orientações da Fortinet e da CISA para corrigir, isolar e investigar os appliances afetados antes que a exploração automatizada se prolifere em larga escala. O passo inicial é inventariar todas as instâncias de FortiSandbox, FortiSandbox Cloud e FortiSandbox PaaS, registrar a versão exata de cada appliance e aplicar a atualização para 4.4.9 ou 5.0.6 em todos os nós do cluster, confirmando a instalação bem-sucedida em cada servidor individualmente.
- Restringir o acesso à interface de gerenciamento a segmentos confiáveis via VPN, firewall ou lista de IPs permitidos, eliminando qualquer exposição à internet.
- Monitorar logs HTTP por requisições malformadas ou suspeitas direcionadas aos endpoints vulneráveis conhecidos.
- Ao detectar artefatos de exploração, acionar o playbook de resposta a incidentes, isolar o host comprometido imediatamente e preservar evidências para análise forense.
A triagem forense é exigida pela diretiva BOD 26-04 e deve determinar se o sistema foi comprometido antes da aplicação da correção, preservando evidências para análise posterior.
Caça a comprometimento
A Fortinet ainda não publicou indicadores de comprometimento validados para essas vulnerabilidades, o que torna a caça comportamental a principal ferramenta de detecção pós-remediação. O SOC deve procurar contas administrativas recém-criadas, configurações modificadas sem registro de mudança, conexões de saída inesperadas para destinos não confiáveis, webshells e execução de comandos atípicos no appliance. Como o FortiSandbox processa amostras de malware submetidas de toda a rede e detém credenciais de integração com outros produtos Fortinet, um appliance comprometido pode ter exposto dados de amostras de arquivos, topologia interna de rede e credenciais de sistemas conectados à fabric de segurança. A revisão de integridade deve incluir os verdicts emitidos pelo sandbox nas semanas anteriores à aplicação do patch, buscando anomalias estatísticas que indiquem manipulação de resultados por um atacante em controle do appliance.
Fontes
- Fortinet PSIRT — FG-IR-26-100 (CVE-2026-39808)
- Fortinet PSIRT — FG-IR-26-141 (CVE-2026-25089)
- NIST NVD — CVE-2026-39808
- NIST NVD — CVE-2026-25089
- CISA — Known Exploited Vulnerabilities Catalog
- CrowdSec — FortiSandbox Command Injection Under Early Exploitation
- Help Net Security — Attackers exploiting FortiSandbox vulnerabilities
