Alerta de Vulnerabilidade - Fortinet FortiSandbox

Foi identificada uma vulnerabilidade de injeção de comandos de sistema operativo (CWE-78), identificada como CVE-2026-25089/EUVD-2026-35443, na interface web (Web UI) do Fortinet FortiSandbox, FortiSandbox Cloud e FortiSandbox PaaS [1][2][3].

São afetadas as seguintes versões [1][4]:

• FortiSandbox 5.0.0 a 5.0.5;
• FortiSandbox 4.4.0 a 4.4.8;
• FortiSandbox 4.2, todas as versões;
• FortiSandbox Cloud 5.0.4 a 5.0.5;
• FortiSandbox PaaS 5.0.4 a 5.0.5.

A correção consta do advisory FG-IR-26-141 e está disponível nas versões 5.0.6 e 4.4.9, ou superiores. Para o ramo 4.2, recomenda-se contactar o suporte Fortinet [3][4].

Um atacante remoto e não autenticado pode executar comandos arbitrários do sistema operativo no appliance, através do envio de pedidos HTTP especialmente manipulados à interface web, sem privilégios nem interação do utilizador [1][3][4]. A exploração pode conduzir à execução remota de código e ao comprometimento total do appliance, com perda de confidencialidade, integridade e disponibilidade.

O FortiSandbox analisa ficheiros e URL suspeitos num ambiente isolado e fornece veredictos a outros produtos Fortinet, que os utilizam para decisões de bloqueio e resposta automática. Um appliance comprometido pode, por isso, ser utilizado para manipular esses veredictos ou como ponto de apoio para movimento lateral na rede [4].

Recomenda-se a atualização para as versões corrigidas [3][4]:

• FortiSandbox 5.0.x para 5.0.6 ou superior;
• FortiSandbox 4.4.x para 4.4.9 ou superior;
• FortiSandbox Cloud e PaaS 5.0.x para 5.0.6 ou superior;
• FortiSandbox 4.2.x: contactar o suporte Fortinet para obter uma versão corrigida.

Medidas adicionais recomendadas:

• Restringir o acesso à Web UI de gestão a gamas de IP internas de confiança, através de Local-in policies ou regras de firewall, e não expor a interface de gestão à Internet [4];
• Impor autenticação multifator (MFA) para todos os acessos administrativos ao appliance [4];
• Monitorizar os logs de forma a identificar pedidos HTTP que contenham operadores de injeção de comandos, processos do servidor web que originem shells e ligações de saída inesperadas [4];
• Aplicar segmentação de rede para limitar o alcance de um possível sistema comprometido [4].

[1] - https://nvd.nist.gov/vuln/detail/CVE-2026-25089
[2] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-25089
[3] - https://fortiguard.fortinet.com/psirt/FG-IR-26-141
[4] - https://www.helpnetsecurity.com/2026/06/16/fortisandbox-vulnerabilities-cve-2026-39813-cve-2026-39808-cve-2026-25089/