「FortiSandbox」のウェブUIに深刻なRCE脆弱性- アップデートを

「FortiSandbox」のウェブユーザーインタフェースにおいて、認証を必要とすることなくコマンドの実行が可能となる深刻な脆弱性が明らかとなった。

「FortiSandbox」「FortiSandbox Cloud」「FortiSandbox PaaS」において、OSコマンドインジェクションの脆弱性「CVE-2026-25089」が明らかとなったもの。同社内部で発見されたという。

「vnc」起動時のJSON入力における処理に問題があり、認証を必要とすることなく、細工したHTTPリクエストをGUIコンポーネントに送信することで、本来許可されていないコマンドを実行できる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同社では「FortiSandbox 5.0.6」「同4.4.9」にて脆弱性を修正。「同5.2」については影響を受けないとしている。

また「FortiSandbox Cloud」「FortiSandbox PaaS」に関しては「同5.0」ブランチの一部バージョンが影響を受けるとし、「同5.0.6」以上へ更新するよう求めている。

（Security NEXT - 2026/06/10 ）ツイート