FortiSandbox の脆弱性を CVE-2026-26083 が FIX：任意のコード／コマンド実行の恐れ

Critical Fortinet FortiSandbox Vulnerability Enables Code Execution Attacks

2026/05/12 CyberSecurityNews — Fortinet の FortiSandbox における深刻なセキュリティ脆弱性が、エンタープライズ・ネットワークに重大なリスクをもたらしている。この脆弱性を悪用する未認証のリモート攻撃者は、任意のコード／コマンドの実行を可能にする。2026年5月12日に Fortinet は、脆弱性 CVE-2026-26083 (FG-IR-26-136) を公開し、CVSSv3 スコア 9.1 を付与し Critical に分類した。

この脆弱性は、FortiSandbox の Web UI における権限確認の欠如に起因し、オンプレミス／クラウド／Platform-as-a-Service (PaaS) に影響を及ぼす。

Fortinet FortiSandbox 脆弱性

この脆弱性は、FortiSandbox の Web インターフェイスの GUI コンポーネントに存在する。この認可チェックの欠如を突くリモートの未認証攻撃者は、細工された HTTP リクエストを送信することで、基盤システム上で不正なコード／コマンドの実行を誘発できる。

認証とユーザー操作が不要であるため、その攻撃面は極めて広く、機密性／完全性／可用性に重大な影響を及ぼす。

FortiSandbox は、エンタープライズ環境において、マルウェア解析と脅威検知の中核的なツールとして広く導入されている。このシステムが侵害されると、その影響は単一の資産の露出に留まらず、組織全体の検知パイプラインの無効化につながる可能性がある。

影響を受けるバージョン

この脆弱性は、広範な FortiSandbox 環境に影響する：

• FortiSandbox 5.0：5.0.0～5.0.1 は 5.0.2 以降へアップグレード
• FortiSandbox 4.4：4.4.0～4.4.8 は 4.4.9 以降へアップグレード
• FortiSandbox Cloud 24／23：全バージョンを 修正済みリリースへ移行
• FortiSandbox Cloud 5.0：5.0.2～5.0.5 は 5.0.6 以降へアップグレード
• FortiSandbox PaaS 5.0：5.0.0～5.0.1 は 5.0.2 以降へアップグレード
• FortiSandbox PaaS 4.4：4.4.5～4.4.8 は 4.4.9 以降へアップグレード

なお、旧バージョンの PaaS 23.4／23.3／23.1／22.2／22.1／21.4／21.3 も、修正済みリリースへと直ちに移行する必要がある。

この脆弱性は、Fortinet Product Security チームの研究者 Adham El Karn により、内部的に発見／報告された。

公開時点では実環境での悪用は確認されていないが、未認証である点と、高い深刻度により、迅速な武器化の有力な候補となる。

セキュリティ・チームは、遅延なくパッチ適用を実施すべきである。アップグレード経路を持たない旧版 FortiSandbox PaaS を運用している組織は、サポート対象の修正済みリリースへの移行を最優先とする必要がある。

訳者後書：Fortinet のセキュリティ解析製品 FortiSandbox に見つかった、深刻な脆弱性について解説する記事です。 問題の原因は、管理用 Web 画面の設計において、利用者の権限を正しく確認する “認可チェック” が漏れていたことにあります。この欠陥を突く攻撃者は、認証を必要とせずに外部から自由にシステムを操作できる状態にありました。 脅威を検知する中核ツールが乗っ取られると、組織全体の防衛網が機能不全に陥る恐れがあります。実環境での悪用は確認されていませんが、 攻撃が容易で危険度が高いため、速やかなアップデートが強く推奨されます。よろしければ、FortiSandbox での検索結果も、ご参照ください。