CISA KEV 警告 26/07/16：Fortinet FortiSandbox の脆弱性 CVE-2026-39808／25089 を KEV に登録

CISA Warns of Two Fortinet FortiSandbox Flaws Exploited to Execute Commands

2026/07/17 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Fortinet の FortiSandbox に存在する 2 件の深刻な脆弱性 CVE-2026-39808／CVE-2026-25089 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。これらの脆弱性は、OS コマンド・インジェクションの脆弱性 (CWE-78) に起因し、影響を受けるシステム上での不正なコマンド実行に悪用されている。影響が及ぶ製品の範囲は、FortiSandbox Cloud／FortiSandbox PaaS などの FortiSandbox の導入環境となる。

CISA が Fortinet FortiSandbox の脆弱性を警告

CISA によると、CVE-2026-39808 は FortiSandbox アプライアンスに影響を及ぼす。この脆弱性を悪用する未認証の攻撃者は、特別に細工した HTTP リクエストを通じて、OS レベルの任意のコマンドを実行できる。この脆弱性は、リクエスト処理メカニズムにおける入力検証の不備に起因しており、攻撃者が注入する悪意のコマンドが基盤となるオペレーティング・システム上で実行される。

その結果、システムの完全な侵害／不正なデータアクセス／企業環境内でのラテラル・ムーブメントなどが、攻撃者により仕掛けられる可能性がある。特に、この脆弱性は認証を必要としないため、悪用のハードルが大幅に下がり、インターネットに公開された環境におけるリスク・プロファイルが高まる。

2 件目の脆弱性である CVE-2026-25089 は、FortiSandbox／FortiSandbox Cloud／FortiSandbox PaaS を含む、より広範な Fortinet 製品群に同様のリスクをもたらす。CVE-2026-39808 と同様に、この脆弱性も細工された HTTP リクエストを通じて認証を必要としないコマンド実行を可能にする。複数の Fortinet サンドボックス・プラットフォームにおいて、ユーザーが提供する入力の処理に対する、体系的な問題が存在することを示している。

FortiSandbox は、不審なファイルの分析や高度な脅威の検出を担っているため、これらの脆弱性を悪用する攻撃者は、分析結果の改竄や保護機能の無効化を可能にする。さらに、次の攻撃の足掛かりとして、サンドボックス環境が悪用される恐れもある。

CISA は、これらの脆弱性とランサムウェア・キャンペーンとの関連性は確認していないが、KEV カタログへの追加が示すのは、実環境でのアクティブな悪用が確認されていることである。

多くの場合においてネットワーク・インフラの重要な位置に配置される、セキュリティ・アプライアンスにおけるコマンド・インジェクションの脆弱性は、高権限アクセスの奪取を引き起こすため特に危険であると、セキュリティ研究者たちは指摘している。これらの脆弱性の悪用に成功した攻撃者は、マルウェア分析ワークフローを詳細に可視化し、脅威インテリジェンスの出力を操作する可能性があると、彼らは付け加えている。

リスクに基づくタイムリーなパッチ適用を優先する Binding Operational Directive (BOD) 26-04 に従い、CISA は連邦政府機関に対して 2026年7月19日までに、これらの脆弱性を修正するよう義務付けている。

民間の各組織においても、ベンダーが提供する緩和策を直ちに適用し、影響を受ける資産のインターネットへの公開状況を評価し、CISA のフォレンジック・トリアージ要件に従い、潜在的な侵害を検出することが強く求められている。パッチや緩和策を利用できない場合には、影響を受ける製品の使用を中止してリスクを低減するよう、CISA は推奨している。

セキュリティ・チームにとって必要なことは、異常な HTTP リクエスト・パターン／予期しないコマンド実行ログ／FortiSandbox の分析結果における異常といった、侵害の兆候を継続的に監視することである。これらのエクスプロイトは、認証を必要としないため、リスクを最小限に抑えるには、プロアクティブなネットワーク監視と厳格なアクセス制御が不可欠である。

脅威アクターがセキュリティ・インフラを標的とし続ける中、これらの Fortinet の脆弱性が急速に悪用されているという事実が浮き彫りにするのは、セキュリティ・ツール・エコシステム全体にわたる、継続的なパッチ管理と堅牢で可視化された防御態勢の必要性である。

FortiSandbox の脆弱性 CVE-2026-39808／CVE-2026-25089 が、KEV に登録されました。今回の問題は、Fortinet の FortiSandbox において、外部からの HTTP リクエストに対する入力検証が不十分だったことが主な原因です。この不備により、認証を経ていない第三者が悪意のあるコマンドを注入し、基盤となる OS 上で任意のコマンドを実行できる状態になっていました。さらに、影響が単一の製品にとどまらず、FortiSandbox Cloud や FortiSandbox PaaS を含む複数のプラットフォームで同様の入力処理の問題が存在していたことも要因となっています。ご利用のチームは、ご注意ください。よろしければ、CISA KEV ページも、ご参照ください。