Vulnerabilidades críticas no Fortinet FortiSandbox já são exploradas ativamente
Três vulnerabilidades críticas no Fortinet FortiSandbox — CVE-2026-25089, CVE-2026-39813 e CVE-2026-39808 — estão sendo exploradas ativamente por criminosos, segundo pesquisadores de segurança. As falhas decorrem de neutralização inadequada de elementos especiais em comandos de sistema operacional, permitindo que um atacante não autenticado execute comandos remotos por meio de requisições HTTP especialmente construídas.
O que está em jogo
O FortiSandbox é a solução de sandboxing da Fortinet usada para detonar e analisar arquivos suspeitos em ambiente isolado, identificando malware antes que ele chegue à rede de produção. Uma falha de OS command injection nesse tipo de appliance é particularmente grave: o próprio equipamento responsável por analisar ameaças passa a ser o alvo, e uma exploração bem-sucedida pode dar ao atacante execução de comando com os privilégios do processo vulnerável — potencialmente controle total do appliance.
Como as três CVEs compartilham a mesma classe de falha (neutralização inadequada de caracteres especiais em comandos de sistema), é provável que estejam relacionadas a pontos distintos da mesma superfície de processamento de requisições HTTP no produto.
Por que a exploração não autenticada eleva o risco
Vulnerabilidades que não exigem autenticação prévia são as mais perigosas em qualquer inventário de patch, porque removem a barreira de “o atacante precisa de uma credencial primeiro”. Qualquer FortiSandbox com a interface de gestão exposta — mesmo que apenas para a rede interna, mas alcançável por um atacante já dentro do perímetro — se torna um alvo direto, sem necessidade de phishing, força bruta ou movimento lateral prévio.
Como proteger seu ambiente
- Aplique as correções da Fortinet imediatamente assim que disponíveis para a versão do FortiSandbox em uso — trate como prioridade máxima, dado que a exploração já está confirmada em campo.
- Restrinja o acesso à interface de gestão do FortiSandbox exclusivamente a redes de administração confiáveis, nunca exposta à internet.
- Audite logs do appliance em busca de requisições HTTP anômalas ou comandos inesperados executados pelo processo vulnerável.
- Segmente a rede de forma que, mesmo em caso de comprometimento do FortiSandbox, o atacante não tenha acesso lateral facilitado a outros sistemas críticos.
- Acompanhe o PSIRT da Fortinet (Product Security Incident Response Team) para confirmar a disponibilidade de patch e eventuais indicadores de comprometimento (IoCs) publicados.
Perguntas frequentes
Só o FortiSandbox é afetado por essas CVEs?
As três CVEs citadas são específicas do FortiSandbox, mas Fortinet costuma compartilhar componentes entre produtos — vale consultar o boletim oficial completo para confirmar se outras soluções da linha Forti também recebem correção relacionada.
Como sei se meu FortiSandbox já foi comprometido?
Revise logs de comandos executados pelo appliance, tráfego de saída incomum e, se possível, compare hashes de arquivos de sistema com uma baseline confiável.
Desligar o FortiSandbox é uma opção viável até o patch?
Em ambientes de alto risco, isolar temporariamente a interface de gestão (mesmo mantendo o sandboxing ativo internamente) reduz a superfície de ataque até a aplicação da correção oficial.
Conclusão
Quando a própria ferramenta de defesa se torna o vetor de ataque, a resposta precisa ser rápida: aplicar o patch assim que disponível, restringir exposição da interface de gestão e monitorar ativamente por sinais de exploração. Times que operam FortiSandbox devem tratar este caso como prioridade imediata de patch management.
