Trusted Design

解説:

CVE‑2026‑25089はFortinet FortiSandbox における未認証 OS コマンドインジェクション（CWE‑78）により、リモート攻撃者が任意コマンドを実行できるクリティカル脆弱性。

1. 脆弱性の概要

Fortinet FortiSandbox の HTTP リクエスト処理に 入力無効化不備（OS コマンドインジェクション） が存在し、 攻撃者は 特別に細工した HTTP リクエストを送信するだけで、未認証のまま OS コマンドを実行可能。

1.1 影響

• 未認証リモート攻撃者による任意 OS コマンド実行（RCE）
• FortiSandbox の 完全なシステム侵害（機密性・完全性・可用性の喪失）
• CISA Known Exploited Vulnerabilities（KEV）登録済み（悪用確認）

1.2 深刻度

• CVSS v3.1（Fortinet CNA）: 9.8 CRITICAL
  Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

2. 対象となる環境

2.1 影響を受ける製品・バージョン

以下の FortiSandbox 製品が影響を受ける：

• FortiSandbox 5.0.0 ～ 5.0.5
• FortiSandbox 4.4.0 ～ 4.4.8
• FortiSandbox 4.2（全バージョン）
• FortiSandbox Cloud 5.0.4 ～ 5.0.5
• FortiSandbox PaaS 5.0.4 ～ 5.0.5

2.2 影響を受ける設定

• FortiSandbox が ネットワーク経由でアクセス可能
• 特定の HTTP リクエスト処理で 入力検証が不十分
  （Fortinet PSIRT は攻撃ベクトルを「特別に細工した HTTP リクエスト」と明記）

3. 影響を受けた時の兆候（IoC）

公式の IoC は 不明（Fortinet は詳細を公開していない）。
技術分析から確認できる兆候：

• FortiSandbox に対する 不審な HTTP リクエスト
• OS コマンド実行に伴う 異常なプロセス生成・ログ出力

4. 推奨対策

4.1 本対策（恒久対策）

Fortinet PSIRT（FG‑IR‑26‑141）に基づくアップデート適用
修正版：

• FortiSandbox 4.4.9 以降
• FortiSandbox Cloud / PaaS 5.0.6 以降
• CISA BOD 26‑04 に基づき、2026/07/19 までに対策適用が必須

4.2 暫定回避策（緩和策）

Fortinet は明確な回避策を提示していない。
有効な緩和策：

• FortiSandbox を インターネットから隔離
• WAF による 不審な HTTP リクエストの遮断
• ログ監視（異常なコマンド実行痕跡の検知）

5. その他補足

5.1 悪用状況

• CISA KEV に登録（2026/07/16）
  実際に悪用が確認されている

5.2 脆弱性分類

• CWE‑78: Improper Neutralization of Special Elements used in an OS Command