Fortinetは、FortiSandboxのWeb管理インターフェースに重大な脆弱性があることを公表しました。リモートの攻撃者が細工したHTTPリクエストを送ることで、認証を回避できる可能性があります。
この脆弱性は、セキュリティアドバイザリ FG-IR-26-185 の下でCVE-2026-107656として追跡されており、CVSSv3スコアは9.6と報告されています。Fortinetは想定される影響として「不正なコードまたはコマンドの実行」を挙げており、影響を受ける環境にとって重大なセキュリティ上の懸念となっています。
2026年10月13日に公開されたアドバイザリは、管理インターフェースにおけるアクセス制御とセッション管理の不備について説明しています。
影響を受けるのは、FortiSandboxおよびFortiSandbox PaaSの特定のリリースです。両製品の5.2ブランチは影響を受けないとされています。Fortinetはこの脆弱性を、代替パスまたはチャネルを使用した認証回避を意味するCWE-288に分類しています。
技術的な概要によると、リモートの未認証の攻撃者は、特別に細工したHTTPリクエストによって、FortiSandboxのグラフィカルユーザーインターフェース（GUI）の認証を回避できる可能性があります。
つまり攻撃者は、有効なログイン認証情報がなくても、この認証上の弱点を突くことができます。ここで、脆弱性の仕組みと想定される影響を区別して捉えることが重要です。
公表された概要が明示しているのは認証回避です。一方、アドバイザリに関する報道では、その結果として生じ得る影響として、不正なコードまたはコマンドの実行が指摘されています。
現時点で入手できる情報では、脆弱なエンドポイントやリクエストの構造、認証回避からコマンド実行へ至る具体的な手順は明らかになっていません。これらの詳細は、深刻度の評価だけから推測すべきではありません。
FortiSandboxは、機械学習、振る舞いインテリジェンス、動的検査を用いてマルウェアを分析します。FortinetのSecurity Fabricやサードパーティのセキュリティ製品と連携し、企業の脅威検知ワークフローの一部として機能します。
管理インターフェースの脆弱性は、悪意ある活動を見つけ出すためのシステムを管理するコンポーネントに関わるため、特に影響が大きいといえます。
FortiSandboxのバージョン5.0.0から5.0.6までは、5.0.7以降へのアップグレードが必要です。4.4ブランチは4.4.0から4.4.9までが影響を受け、管理者には4.4.10以降へのアップグレードが求められています。FortiSandbox 5.2は影響を受けません。
FortiSandbox PaaSでは、バージョン5.0.0から5.0.6までが5.0.7以降へのアップグレードを必要とします。PaaSの4.4ブランチはすべてのリリースが影響を受け、同ブランチ内でパッチを適用するのではなく、修正済みリリースへ移行することが対処法とされています。FortiSandbox PaaS 5.2は影響を受けません。
対処の計画を立てる際には、こうした違いに注意が必要です。4.4ブランチについては、アプライアンス版とPaaS版でアップグレード手順が異なります。
組織は、対処方法を選ぶ前に、導入形態とインストールされているリリースの両方を確認する必要があります。カナダのCanadian Center for Cyber Securityは、管理者に対し、ベンダーのアドバイザリを確認し、必要なアップデートが利用可能になり次第適用するよう呼びかけています。
Fortinetは、自社のProduct SecurityチームのAdham El Karn氏がこの脆弱性を発見し、社内で報告したとしています。また、TrendAI ResearchのJason McFadyen氏が、問題を責任ある形で開示したことにも謝意を示しています。
アドバイザリには、仮想パッチは記載されていません。アドバイザリが最初に公開されたのは2026年10月13日です。管理者は、影響を受けるインストール環境に仮想パッチによる保護があると想定せず、該当するアップグレードまたは移行の手順に従ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。自社チームで試してみる
翻訳元: https://cyberpress.org/critical-fortisandbox-flaw/
