FortiSandbox の脆弱性 CVE-2026-107656：認証を回避して保護機能にアクセスされる恐れ

Critical FortiSandbox GUI Vulnerability Allows Remote Attackers to Bypass Authentication

2026/10/13 CyberSecurityNews — Fortinet が公開したのは、FortiSandbox の GUI (グラフィカル・ユーザー・インターフェイス) に存在する重大な認証回避の脆弱性に関する情報である。この脆弱性 CVE-2026-107656 は、CVSS v3 のスコアが 9.6 と評価されており、FortiSandbox アプライアンスと一部の FortiSandbox PaaS リリースに影響する。2026年10月13日に公開された、Fortinet のセキュリティ・アドバイザリ FG-IR-26-185 において、この脆弱性の詳細が説明されている。想定される影響として、許可されていないコードやコマンドの実行が挙げられている。

この脆弱性は、CWE-288 (代替パスまたはチャネルを介した認証バイパス) に分類されており、細工された HTTP リクエストを送信するリモート攻撃者が、GUI の認証を回避して、保護される機能へアクセスする可能性がある。公開されている CVSS ベクターによると、ネットワーク経由での悪用が可能で、攻撃の複雑さは低く、事前の権限もユーザーの操作も必要としない。ただし、アドバイザリでは既知の悪用状況は「なし」とされており、現時点で実際の攻撃への悪用は確認されていない。

一方、Fortinet のアドバイザリには、具体的なリクエストパス／攻撃用ペイロード／詳細な攻撃手順は記載されていない。そのため、セキュリティチームは、今回の脆弱性の露出状況やリスクを評価する際に、以前に報告された FortiSandbox の認証バイパスの脆弱性と同じ手法で悪用されると想定すべきではない。過去の脆弱性とは、影響を受けるコンポーネントも脆弱性の分類も異なるためである。

影響を受けるバージョンと必要な対応

FortiSandbox のバージョン 5.0.0～5.0.6 は 5.0.7 以降へのアップグレードが必要であり、バージョン 4.4.0～4.4.9 についても 4.4.10 以降へのアップグレードが必要となる。一方、FortiSandbox 5.2 は影響を受けない。

FortiSandbox PaaS も同様に、バージョン 5.0.0～5.0.6 は 5.0.7 以降へのアップグレードが必要である。一方、4.4 系は、すべてのバージョンが影響を受けるため、Fortinet は修正済みバージョンへの移行を推奨している。FortiSandbox PaaS 5.2 は影響を受けない。

製品影響を受けるバージョン必要な対応
FortiSandbox5.0.0～5.0.65.0.7 以降へアップグレード
FortiSandbox4.4.0～4.4.94.4.10 以降へアップグレード
FortiSandbox5.2影響なし
FortiSandbox PaaS5.0.0～5.0.65.0.7 以降へアップグレード
FortiSandbox PaaS4.4 系の全バージョン修正済みリリースへ移行
FortiSandbox PaaS5.2影響なし

なお、アドバイザリに仮想パッチの記載はない。

Fortinet は、この脆弱性を発見／報告した、同社の製品セキュリティチームに所属する Adham El Karn と、責任ある情報開示を行った TrendAI Research の Jason McFadyen に謝意を示している。

過去においては、FortiSandbox の Web インターフェイスに影響を及ぼす、機密データ漏えいの脆弱性も報告されている。ただし、今回の CVE-2026-107656 とは別の脆弱性であるため、過去の脆弱性に対する修正を今回の対策として扱うべきではない。管理者にとって必要なことは、アップグレード先を選択する前に、使用している製品と正確なバージョンについて今回のアドバイザリと照合し、異なる脆弱性に対する修正プログラムを取り違えないようにすることだ。

この記事では、FortiSandbox GUI の重大な認証バイパスの脆弱性である CVE-2026-107656 が解説されています。ネットワーク経由での悪用／低い攻撃の複雑さ／事前の権限やユーザー操作の不要という背景があり、有効な認証情報を持たずに保護された機能へアクセスされてしまう危険性があります。不正なコードやコマンドの実行を許してしまう恐れがあるため注意が必要です。現時点で実際の攻撃による悪用は確認されていませんが、FortiSandbox や FortiSandbox PaaS の各対象製品において修正済みバージョンへの早急なアップグレードが推奨されます。