FortiSandbox: Authentifizierungsumgehung kann zu Codeausführung ohne Authentifizierung führen (CVE-2026-107656)

Was passiert ist

Der Sicherheitshinweis FG-IR-26-185 von Fortinet beschreibt eine Authentifizierungsumgehung über einen alternativen Pfad oder Kanal (CWE-288) in der FortiSandbox-GUI. Die Schwachstelle ist über das Netzwerk ohne Anmeldedaten und ohne Benutzerinteraktion erreichbar. Ein Angreifer kann durch manipulierte HTTP-Anfragen die Authentifizierung umgehen; dem CVE-Eintrag zufolge kann dies die Ausführung von unbefugtem Code oder unbefugten Befehlen ermöglichen. Der CVSS-3.1-Wert beträgt 9,6 (Kritisch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der CVE-Eintrag weist keine öffentliche Offenlegung und keine bekannte Ausnutzung aus, und die Schwachstelle ist nicht in CISA KEV aufgeführt. Fortinet hat weder eine Problemumgehung noch eine korrigierte Version veröffentlicht. Behandeln Sie die Verwaltungsoberfläche bis zur Veröffentlichung einer korrigierten Version so, als sei sie ohne Authentifizierung erreichbar.

Wer betroffen ist

Die betroffene Komponente ist die GUI bzw. die Web-Verwaltungsoberfläche von FortiSandbox. Im Herstellerhinweis sind folgende Versionen als betroffen aufgeführt:

• FortiSandbox 5.0.0 bis einschließlich 5.0.6
• FortiSandbox 4.4.0 bis einschließlich 4.4.9
• FortiSandbox 4.2.1 bis einschließlich 4.2.8
• FortiSandbox PaaS 5.0.0 bis einschließlich 5.0.6
• FortiSandbox PaaS 4.4.0 bis einschließlich 4.4.9
• FortiSandbox PaaS 4.2.1 bis einschließlich 4.2.8

FortiSandbox ist ein Produkt für das Sandboxing; FortiSandbox PaaS ist die Platform-as-a-Service-Bereitstellung des Produkts. Organisationen, die die Verwaltungs-GUI gegenüber Benutzern oder dem Internet erreichbar machen, sollten sich als betroffen betrachten.

Was jetzt zu tun ist

1. Für CVE-2026-107656 ist weder eine korrigierte Version noch eine Problemumgehung des Herstellers aufgeführt. Isolieren Sie die Verwaltungs-GUI von FortiSandbox und FortiSandbox PaaS umgehend von nicht vertrauenswürdigen Netzwerken und erlauben Sie den Zugriff nur aus einem dedizierten internen Verwaltungsnetz oder über VPN.
2. Entfernen Sie, wo möglich, den Zugriff aus dem Internet oder durch Dritte auf die Verwaltungsoberfläche.
3. Beobachten Sie den Sicherheitshinweis FG-IR-26-185 von Fortinet im Hinblick auf eine korrigierte Version und spielen Sie diese ein, sobald Fortinet sie veröffentlicht.
4. Verstärken Sie die Überwachung der Verwaltungsoberfläche auf ungewöhnliche Anmeldungen, neue Sitzungen oder unerwartete Befehle und gehen Sie allen Auffälligkeiten nach.

Wie man es erkennt

Konzentrieren Sie sich auf die Web-Verwaltungsoberfläche. Prüfen Sie Zugriffsprotokolle auf unerwartete authentifizierte Sitzungen oder Befehlsaktivitäten, achten Sie auf manipulierte HTTP-Anfragen an die GUI und suchen Sie nach neuen oder veränderten Administratorkonten. Der Herstellerhinweis enthält keine spezifischen Kompromittierungsindikatoren.

Über den Patch hinaus

Eine Authentifizierungsumgehung an einer über das Netzwerk erreichbaren Verwaltungsoberfläche ist in erster Linie ein Problem der Angriffsfläche. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, exponierte Verwaltungsoberflächen zu erfassen und zu reduzieren, die Sie möglicherweise nicht im Blick haben. Nachdem Zugriff erlangt wurde, hinterlassen Codeausführung und der Missbrauch von Zugangsdaten Spuren; Managed Detection and Response (MDR) ist darauf ausgelegt, diese weiteren Aktivitäten des Angreifers zu erkennen. Da noch keine korrigierte Version veröffentlicht wurde, besteht die richtige Vorgehensweise darin, die Exposition zu begrenzen und auf Missbrauch zu achten.