CISA đưa 2 lỗ hổng FortiSandbox vào danh sách đang bị khai thác
"CISA added two FortiSandbox OS command injection vulnerabilities, CVE-2026-39808 and CVE-2026-25089, to its Known Exploited Vulnerabilities catalog after evidence of active exploitation attempts. Both flaws affect FortiSandbox, FortiSandbox Cloud, and FortiSandbox PaaS, allow unauthenticated remote command execution via crafted HTTP requests, and were previously patched by Fortinet in April and June 2026."
Nguy cơ cao do OS command injection cho phép thực thi lệnh từ xa mà không cần xác thực; việc đưa vào KEV cho thấy khả năng bị khai thác chủ động.
Có thể gây gián đoạn vận hành sandbox và tăng rủi ro sự cố an ninh dẫn đến chi phí xử lý; yêu cầu vá theo mốc CISA tạo áp lực tuân thủ cho đội vận hành.
CISA đã bổ sung CVE-2026-39808 và CVE-2026-25089 vào danh sách Known Exploited Vulnerabilities (KEV) sau khi có bằng chứng về các nỗ lực khai thác đang diễn ra. Hai lỗi này đều là OS command injection trong FortiSandbox, ảnh hưởng FortiSandbox Cloud và FortiSandbox PaaS, với điểm CVSS 9.1.
Theo mô tả từ nhà cung cấp, kẻ tấn công không cần xác thực có thể gửi các yêu cầu HTTP được chế tạo đặc biệt để thực thi lệnh tùy ý trên hệ thống, không yêu cầu tương tác của người dùng. Fortinet đã phát hành bản vá trước đó: CVE-2026-39808 được khắc phục vào tháng 4/2026 và CVE-2026-25089 vào tháng 6/2026, đồng thời cảnh báo nguy cơ remote code execution.
Với các cơ quan liên bang dân sự, việc xuất hiện trong KEV kéo theo nghĩa vụ tuân thủ theo Binding Operational Directive 26-04. Các đơn vị giám sát cũng ghi nhận có quan sát thấy nỗ lực khai thác đối với cả hai lỗi; tuy nhiên một số trường hợp có thể không tạo được khai thác thành công. Khuyến nghị: rà soát phiên bản FortiSandbox và triển khai bản vá tương ứng theo khuyến cáo của nhà cung cấp, đồng thời kiểm tra log/IOC liên quan đến các yêu cầu HTTP bất thường.