Fortinet FortiSandbox 未認証のOSコマンドインジェクション（実際に悪用・KEV）

Critical（CVSS 9.8）に分類されるFortinet FortiSandboxの脆弱性です。FortiSandbox に、未認証の攻撃者が細工した HTTP リクエストで任意のコマンドを実行できる OS コマンドインジェクションがある。NVD の記述は「A improper neutralization of special elements used in an os command（os command injection）vulnerability in Fortinet FortiSandbox 4.4.0 through 4.4.8 may allow attacker to execute unauthorized code or commands」で、CWE は CWE-78。CVSS は Fortinet PSIRT の評価（NVD 上は Secondary）で 9.8 Critical、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H である。影響範囲は説明文と CPE で食い違う点に注意が要る。説明文は 4.4.0 から 4.4.8 と書いているが、NVD が付与した CPE の範囲は 4.4.0 以上 4.4.9 以下で、さらに FortiSandbox PaaS のビルド（21.3.4055 / 21.4.4072 / 22.1.4113 / 22.2.4134 / 22.2.4151 / 23.1.4245 / 23.3.4329 / 23.4.4350 / 23.4.4374）も対象として列挙されている。棚卸しでは広いほうの範囲で当たること。Fortinet は 2026年4月に修正しており、その後 CVE-2026-25089・CVE-2026-39813 と併せて 2026年6月に実際の悪用が観測され、CISA は 2026年7月16日に KEV へ収載した（是正期限 2026年7月19日）。FortiSandbox は他製品の判定基盤であるため、ここが侵害されると連携製品のブロック判断や自動対応そのものが無効化され得る。NVD の公開は 2026年4月14日、最終更新は 2026年7月17日、vulnStatus は Analyzed である。

FortiSandbox を Fortinet の修正版（2026年4月以降）へ更新する。未適用なら最優先で、KEV の是正期限（2026年7月19日）は既に過ぎている。具体的な修正版のバージョン番号は Fortinet の PSIRT アドバイザリ FG-IR-26-100 に載っているが、当該ページは自動取得を弾く保護が入っており本サイトからは確認できていない。番号を推測して書くと誤った版へ上げさせることになるため、修正版の指定は FG-IR-26-100 を直接開いて確認すること。更新までの間は、管理インタフェースと Web インタフェースのインターネット公開を止め、到達できる送信元を信頼済み IP に限定する。未認証で踏める脆弱性なので、到達性を切ることがそのまま緩和になる。あわせて CVE-2026-25089・CVE-2026-39813 が同系統で同時期に悪用されているため、これら一連の修正をまとめて確認・適用する。FortiSandbox PaaS を使っている場合は、上の CPE に列挙されたビルドに該当しないかをテナントのバージョン表示で確認する。既に悪用が確認されている以上、更新前に管理面が外部から到達できた期間があるなら、設定変更履歴と判定結果の改ざん有無まで見ておくのが望ましい。

Fortinet FortiSandbox を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-39808）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/07/19 です。早急な対応が推奨されます。