Trusted Design

解説:

CVE‑2026‑39808はFortinet FortiSandbox（4.4.0〜4.4.8）に存在する OS コマンドインジェクション（CWE‑78）により、未認証リモート攻撃者が任意コード実行可能となるクリティカル脆弱性。

1. 脆弱性の概要

Fortinet FortiSandbox の入力処理において OS コマンドに渡される特殊文字の無効化が不十分 なため、 攻撃者は 細工した HTTP リクエスト を送信することで、 未認証のまま任意 OS コマンドを実行可能。

この脆弱性は ネットワーク経由で攻撃可能 であり、 認証不要・ユーザー操作不要 で成立する。

1.1 影響

• 未認証リモート攻撃者による 任意コード実行（RCE）
• FortiSandbox の 完全なシステム侵害（機密性・完全性・可用性の喪失）
• CISA により Known Exploited Vulnerability（KEV） として登録（悪用確認済み）

1.2 深刻度

• CVSS v3.1（Fortinet CNA）: 9.8 CRITICAL
  Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

• Vulnerability‑Lookup 評価: 9.1 Critical

2. 対象となる環境

2.1 影響を受ける製品・バージョン

• Fortinet FortiSandbox：

  • 4.4.0
  • 4.4.1 ～ 4.4.7
  • 4.4.8

2.2 影響を受ける設定

• FortiSandbox が ネットワーク経由でアクセス可能
• 特定の HTTP リクエスト処理で 入力検証が不十分
  （攻撃ベクトルの詳細は Fortinet 公開情報に依存し、NVD は と記載）

3. 影響を受けた時の兆候（IoC）

公式の IoC は 不明（Fortinet は詳細を公開していない）。
ただし、技術分析から事実として確認できる兆候：

• FortiSandbox に対する 不審な HTTP リクエスト
• OS コマンド実行に伴う 異常なプロセス生成・ログ出力
  （SentinelOne の技術分析より、OS コマンドがサービス権限で実行される）

4. 推奨対策

4.1 本対策（恒久対策）

• Fortinet のセキュリティアップデート（FG‑IR‑26‑100）を適用
  （CISA KEV により 2026/07/19 までに適用必須）

• CISA BOD 26‑04 に基づく対応：

  • ベンダー指示に従った緩和策の適用
  • Forensics Triage Requirements に従い侵害調査

4.2 暫定回避策（緩和策）

Fortinet は明確な回避策を提示していない。
有効な緩和策：

• FortiSandbox を インターネットから隔離
• WAF による 不審な HTTP リクエストの遮断
• ログ監視（異常なコマンド実行痕跡の検知）

5. その他補足

5.1 悪用状況

• CISA KEV に登録（2026/07/16）
  実際に悪用が確認されている

5.2 脆弱性分類

• CWE‑78: Improper Neutralization of Special Elements used in an OS Command