FortiSandbox и облачный сервис FortiSandbox Cloud содержат две уязвимости. Одна связана с криптографическим ключом, жёстко зашитым в код API (интерфейс, через который программы обращаются к продукту). Она открывает злоумышленнику без учётной записи путь к части служебных точек API с помощью специально составленных HTTP-запросов. Другая возникает из-за необработанного исключения. Пользователь с повышенными правами может надолго отрезать остальных администраторов от графического интерфейса и командной строки. Обе уязвимости получили среднюю степень опасности: 4.9 и 4.8 балла по шкале CVSS.
Две уязвимости в FortiSandbox и облачной версии продукта
FortiSandbox работает как песочница (изолированная среда) для проверки подозрительных файлов и вложений. Продукт ставят на границе сети, чтобы опасные объекты не доходили до рабочих машин. Облачная версия повторяет функциональность локального устройства. Уязвимости затрагивают три ветки: 4.4, 5.0 и 5.2. Следов эксплуатации в реальных атаках вендор не зафиксировал. Обе проблемы нашли внешние исследователи, а опубликовали их 13 октября 2026 года.
Жёстко зашитый ключ в API
Первая уязвимость, CVE-2026-106172, относится к классу CWE-321 - использование жёстко зашитого криптографического ключа. Ключ хранится прямо в коде, поэтому проверку подлинности запроса можно обойти. Учётная запись атакующему не нужна: достаточно отправить на устройство подготовленный HTTP-запрос. Открывается доступ не ко всем точкам API, а лишь к их части. Fortinet оценивает последствия как повышение привилегий. Рейтинг CVSS - 4.9, степень опасности средняя. Уязвимость обнаружил Сина Хейрхах (Sina Kheirkhah) из компании watchTowr.
Стойкий отказ в обслуживании
Вторая уязвимость, CVE-2026-106170, связана с необработанным исключением (CWE-248). Программа не перехватывает ошибку, и часть компонентов перестаёт отвечать. Специально составленные HTTP-запросы лишают администратора графического интерфейса и командной строки, причём отказ вендор называет стойким. Для такой атаки нужны права с повышенным доступом, поэтому круг потенциальных нарушителей уже, чем в первом случае. Рейтинг CVSS - 4.8, средняя степень опасности. Проблему нашёл Джейсон Макфадьен (Jason McFadyen) из TrendAI Research.
Какие версии закрыты
Исправления готовят для веток 5.0 и 5.2. В локальной и в облачной версии нужно обновиться до 5.0.7 и до 5.2.2 соответственно, причём сборка 5.2.2 на момент публикации ещё не вышла. Для ветки 4.4 исправлений не предусмотрено: вендор предлагает перейти на поддерживаемый выпуск. Виртуального патча нет, то есть обходного способа закрыть уязвимости без полного обновления не существует.
Практические шаги
Обновить устройства и облачные экземпляры до исправленных сборок. Пока обновление не установлено, доступ к API и к панели управления ограничивают доверенными подсетями. От ветки 4.4 проще уйти на актуальный выпуск, поскольку патчей для неё не будет. Тем, кто арендует FortiSandbox Cloud, ждать установки своими силами не нужно - обновление придёт со стороны сервиса.
Обе уязвимости относятся к среднему уровню, и это отражает картину точно. Без учётной записи злоумышленник получает лишь часть API, а отказ в работе интерфейса требует прав администратора. Значение здесь в другом: песочница первой принимает подозрительные файлы и видит результаты их проверки, поэтому служебные интерфейсы такого продукта интересны для атакующих. Жёстко зашитые ключи остаются одной из самых частых ошибок в устройствах крупных вендоров.
Ссылки
- https://fortiguard.fortinet.com/psirt/FG-IR-26-176
- https://fortiguard.fortinet.com/psirt/FG-IR-26-179
