Die US-amerikanische Cybersicherheitsbehörde fordert Bundesbehörden auf, zwei kritische FortiSandbox-Schwachstellen bis Sonntag, den 19. Juli, zu beheben.
Angreifer nutzen beide Sicherheitslücken aktiv aus. Dadurch können sie ohne Authentifizierung unbefugte Befehle auf anfälligen Fortinet-Systemen ausführen.
Die betroffene Plattform hilft Organisationen dabei, verdächtige Dateien zu erkennen und zu analysieren. Ein erfolgreicher Angriff könnte daher ausgerechnet ein Sicherheitsprodukt kompromittieren, das Unternehmens- und Behördennetzwerke schützen soll.
Zwei kritische FortiSandbox-Schwachstellen werden ausgenutzt
Die Schwachstellen werden als CVE-2026-39808 und CVE-2026-25089 geführt. Beide ermöglichen die Einschleusung von Betriebssystembefehlen und weisen einen kritischen Schweregrad auf.
Ein Angreifer kann die Lücken durch speziell präparierte HTTP-Anfragen an ein öffentlich erreichbares System ausnutzen. Der Angriff erfordert nur geringe technische Kenntnisse. Zudem sind weder ein Konto noch ein Passwort oder eine Nutzerinteraktion erforderlich.
Bei einem erfolgreichen Angriff können Kriminelle unbefugten Code oder Betriebssystembefehle aus der Ferne ausführen. Dadurch könnte ein Angreifer im schlimmsten Fall die vollständige Kontrolle über das betroffene Gerät übernehmen.
Fortinet behob CVE-2026-39808 am 14. April 2026. Für CVE-2026-25089 veröffentlichte das Unternehmen anschließend am 9. Juni ein Sicherheitsupdate.
CISA nimmt die Schwachstellen in ihren Katalog auf
Die Cybersecurity and Infrastructure Security Agency, kurz CISA, nahm beide FortiSandbox-Schwachstellen am 16. Juli in ihren Katalog der nachweislich ausgenutzten Sicherheitslücken auf.
Der Katalog enthält Schwachstellen, deren aktive Ausnutzung bestätigt ist. US-Bundesbehörden müssen die aufgeführten Sicherheitslücken innerhalb der von der CISA festgelegten Fristen beheben.
Gemäß der Binding Operational Directive 26-04 müssen die Behörden betroffene FortiSandbox-Installationen bis zum 19. Juli aktualisieren. Falls kein geeignetes Update verfügbar ist, müssen sie möglicherweise die Nutzung des anfälligen Produkts einstellen.
Die Anordnung gilt direkt für US-amerikanische Bundesbehörden. Private Unternehmen sollten jedoch ebenfalls schnell reagieren. Sicherheitsteams nutzen den CISA-Katalog häufig, um unmittelbar gefährliche Schwachstellen zu priorisieren.
Forscher entdeckten die Angriffe im Juni
Ein Unternehmen für Bedrohungsanalysen meldete bereits im Juni aktive Angriffe auf die Schwachstellen. Die Forscher beobachteten, wie Kriminelle innerhalb von 24 Stunden mehrere FortiSandbox-Sicherheitslücken angriffen.
Zu den Zielen gehörten Berichten zufolge CVE-2026-39808 und CVE-2026-25089. Die Forscher entdeckten außerdem Versuche, CVE-2026-39813 auszunutzen. Dabei handelt es sich um eine separate Schwachstelle derselben Plattform.
Fortinet hatte zunächst nicht angegeben, dass Angreifer die beiden Schwachstellen zur Einschleusung von Befehlen bereits aktiv ausnutzen. Inzwischen hat die CISA die laufenden Angriffe bestätigt.
Die Behörde hat nicht bekannt gegeben, wer hinter den Angriffen steckt. Ebenso ist unklar, wie viele Systeme bereits kompromittiert wurden.
CVE-2026-25089 betrifft mehrere Fortinet-Produkte
CVE-2026-25089 betrifft die Weboberflächen von FortiSandbox, FortiSandbox Cloud und FortiSandbox PaaS.
Die Schwachstelle entsteht durch eine unsichere Verarbeitung von Sonderzeichen in Betriebssystembefehlen. Ein Angreifer ohne Anmeldedaten kann daher schädliche Anweisungen in speziell präparierte Webanfragen einfügen.
Organisationen mit FortiSandbox sollten auf eine abgesicherte Version aktualisieren. Fortinet empfiehlt Nutzern der Version 5.0 ein Update auf Version 5.0.6 oder neuer. Installationen der Version 4.4 sollten auf Version 4.4.9 oder neuer aktualisiert werden.
FortiSandbox 5.2 und FortiSandbox Cloud 5.2 sind von dieser Schwachstelle nicht betroffen.
Administratoren müssen die neuesten Updates installieren
Fortinet-Kunden sollten alle betroffenen Installationen auf die neueste verfügbare Version aktualisieren. Die Updates schließen die bekannten Sicherheitslücken und blockieren die dokumentierten Angriffsmethoden.
Falls Angreifer bereits in ein System eingedrungen sind, reicht die Installation der Updates möglicherweise nicht aus. Administratoren sollten deshalb Protokolle, Konfigurationsänderungen und Netzwerkaktivitäten auf Hinweise für unbefugte Zugriffe untersuchen.
Sicherheitsteams sollten besonders auf unerwartete Befehle, neue Konten und ungewöhnliche ausgehende Verbindungen achten. Zudem sollten sie prüfen, ob jemand die Systemeinstellungen verändert hat.
Verwaltungsoberflächen sollten außerdem nur dann über das Internet erreichbar sein, wenn dies unbedingt erforderlich ist. Eine Beschränkung des Zugriffs reduziert die Anzahl potenzieller Angreifer, die ein anfälliges Gerät erreichen können.
Fortinet-Produkte bleiben beliebte Angriffsziele
Angreifer nehmen Fortinet-Produkte häufig ins Visier, weil diese eine wichtige Rolle in Unternehmensnetzwerken spielen. Wer ein solches System kontrolliert, kann möglicherweise auf interne Infrastruktur oder sensible Netzwerkdaten zugreifen.
Der CISA-Katalog enthält derzeit 28 aktiv ausgenutzte Fortinet-Schwachstellen. Angreifer nutzten 13 davon auch im Zusammenhang mit Ransomware-Angriffen.
Bereits Anfang 2026 behob Fortinet weitere Sicherheitslücken, die später in aktiven Angriffen auftauchten. Dazu gehörte eine kritische SQL-Injection-Schwachstelle im FortiClient Enterprise Management Server. Das Unternehmen schloss zudem eine Path-Traversal-Lücke, die eine Ausweitung von Zugriffsrechten ermöglichte.
Die aktuelle Warnung zeigt, warum Organisationen Sicherheitsupdates für internetfähige Produkte priorisieren müssen. Angreifer nutzen die FortiSandbox-Schwachstellen bereits aktiv aus. Verzögerte Updates könnten daher eine vollständige Kompromittierung der Systeme aus der Ferne ermöglichen.
0 Kommentare zu „FortiSandbox-Schwachstellen werden aktiv ausgenutzt“