FortinetがFortiSandboxの重大な脆弱性にパッチを適用

Fortinetは火曜日に、FortiSandboxの2つの重大度の脆弱性を含む、その製品全体にわたる27の脆弱性を詳述する26の勧告をリリースしました。

CVE-2026-39813として追跡されている最初の重大なバグはFortiSandbox JRPC APIに影響を与え、攻撃者が認証をバイパスすることを可能にする可能性があります。

2番目のもの（CVE-2026-39808として追跡）はOSコマンドインジェクション問題であり、任意のコード実行またはコマンド実行に悪用される可能性があります。

両方のセキュリティ欠陥はCVSSスコア9.1を持ち、特別に細工されたHTTPリクエストを介して認証なしで悪用される可能性があります。

火曜日に、Fortinetはまた、FortiAnalyzer Cloudの高度の深刻さのバッファオーバーフロー脆弱性であるCVE-2026-22828にパッチを適用しました。これは認証なしでリモートコード実行または任意のコマンド実行のために悪用される可能性があります。

成功した悪用にはASLRおよびネットワークセグメンテーションのために準備に多くの努力が必要になります。ネットワークセグメンテーションのおかげで、この脆弱性は攻撃者が同じエンティティに属する別のクラウドコンポーネントへのアクセスを既に持っている場合にのみ悪用される可能性があると、Fortinetは述べています。

同社はまた、FortiDDoS-FおよびFortiClientEMSの2つの高度の深刻さのSQLインジェクションバグに対処しました。これはデータベース上で任意のSQLクエリを実行するための細工されたリクエストを介して悪用される可能性があります。両方の欠陥には認証が必要です。

Fortinetが火曜日にパッチを適用した残りのセキュリティ欠陥は、サービス発見、XSS攻撃、コード実行、情報開示、パストトラバーサル攻撃、ファイルの書き込みと削除、ユーザーリダイレクト、構成改ざん、サービス妨害（DoS）攻撃、データベースダンプの復号化、認証情報のリーク、認証バイパス、および任意のディレクトリ削除につながる、中度および低度の深刻さの問題です。

Fortinetはこれらの脆弱性のいずれも野生で悪用されていることについては言及していません。追加情報は同社のPSIRTの勧告ページで見つけることができます。