Уязвимость обхода аутентификации в FortiSandbox открывает удалённому злоумышленнику путь в веб-интерфейс управления и позволяет запускать на устройстве произвольные команды. При этом оценка по CVSS (общая система оценки уязвимостей) составляет 9.6 балла, а вендор относит проблему к критическому уровню опасности. Ни учётная запись, ни действия администратора для атаки не нужны. Хватает сетевого доступа к панели управления. Затронуты и локальные установки FortiSandbox, и облачная служба FortiSandbox PaaS (платформа как сервис).
Уязвимость CVE-2026-107656 в FortiSandbox
Слабое место находится в графическом интерфейсе. Ошибки в разграничении доступа и в работе с сессиями создают обходной маршрут мимо обычной проверки подлинности. В перечне типовых слабостей программного обеспечения такой класс описан как обход аутентификации через альтернативный путь или канал. Поэтому атакующему достаточно отправить особым образом составленный HTTP-запрос, и проверка учётных данных не сработает.
Сложность атаки низкая. Сетевой вектор, привилегии не требуются, взаимодействие с пользователем не нужно. От последствий страдают сразу три свойства системы: конфиденциальность, целостность и доступность. Речь идёт не о том, что интерфейс управления просто виден из сети. Ошибка позволяет исполнять на устройстве посторонний код и команды. Панель управления открывает доступ к настройкам устройства и результатам его работы. FortiSandbox - это песочница, то есть изолированная среда для анализа файлов и ссылок. Следовательно, обход её защиты ведёт к инфраструктуре, которой доверяют проверку подозрительных образцов. Такую уязвимость не нужно готовить заранее: ни учётной записи, ни письма с вложением от администратора она не требует.
Бюллетень FG-IR-26-185 вышел 13 октября 2026 года. На момент публикации случаев реальной эксплуатации вендор не зафиксировал. Однако такую пометку не читают как гарантию безопасности. Помимо этого, отсутствие подтверждённых атак говорит лишь о том, что публичных свидетельств пока нет. Виртуального патча, то есть временного правила, закрывающего проблему без обновления, Fortinet не предлагает. Значит, единственный путь - заменить уязвимый выпуск на исправленный.
Проблему обнаружил Adham El Karn из группы безопасности продуктов Fortinet. О ней также сообщил Jason McFadyen из TrendAI Research по процедуре ответственного раскрытия. Детали расследования и то, работали ли исследователи вместе, бюллетень не раскрывает.
Затронутые версии и облачная служба
Ветка FortiSandbox 5.0 уязвима от 5.0.0 до 5.0.6; исправление появилось в 5.0.7 и более поздних сборках. Ветку 4.4 затронули версии с 4.4.0 по 4.4.9; обновиться предлагают до 4.4.10 или выше. Зато выпуск 5.2 проблемы не имеет. У облачной службы картина похожая. FortiSandbox PaaS 5.0.0-5.0.6 требуют перехода на 5.0.7 или новее. Все версии линейки PaaS 4.4 остаются уязвимыми, поэтому вендор советует миграцию на исправленный выпуск. PaaS 5.2 не затронута.
Что делать администраторам
Пересчитайте все развёртывания FortiSandbox и PaaS в своём контуре. Затем переведите их на версии, указанные в бюллетене. Облачные системы линейки 4.4 придётся переносить на поддерживаемый выпуск, поскольку исправлений для них нет. Если обновление нельзя поставить сразу, ограничьте доступ к интерфейсу управления. Например, оставьте его только внутри защищённого сегмента и закройте от интернета. Такая мера снижает риск, но не заменяет установку исправленной сборки. Отдельно проверьте, не открыт ли веб-интерфейс во внешнюю сеть.
Интерфейсы управления защитных устройств остаются целью для атакующих. Через них можно добраться до инфраструктуры, которой доверяют проверку трафика и файлов. Обход аутентификации ценен не сам по себе, а как первый шаг к продвижению по сети. Поскольку учётные данные для такой атаки не нужны, смена паролей и многофакторная проверка здесь не помогут. Виртуального патча вендор не выпустил, поэтому скорость обновления определяет уровень риска.
Ссылки
