CVE-2026-25089
Fortinet FortiSandbox OS Command Injection Vulnerability
Beschreibung
CVE-2026-25089 ist eine kritische OS-Command-Injection-Schwachstelle in Fortinet FortiSandbox, die es einem nicht authentifizierten Angreifer erlaubt, über speziell präparierte HTTP-Anfragen unautorisierte Befehle auszuführen. Die mit CVSS 9.8 (Kritisch) bewertete Lücke betrifft FortiSandbox 5.0.0 bis 5.0.5, 4.4.0 bis 4.4.8, alle 4.2-Versionen sowie FortiSandbox Cloud und FortiSandbox PaaS 5.0.4 bis 5.0.5. Da FortiSandbox eine Security-Appliance zur Analyse verdächtiger Dateien ist, verschafft die vollständige Befehlsausführung einem Angreifer einen privilegierten Zugriffspunkt mitten in der Sicherheitsinfrastruktur. CISA hat CVE-2026-25089 mit Frist 19.07.2026 in den Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen; der EPSS-Wert von 36,1 % (98. Perzentil) signalisiert eine erhebliche Ausnutzungswahrscheinlichkeit — betroffene Fortinet-Installationen sollten umgehend gepatcht werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortisandbox | >= 4.2.0, <= 4.2.8; >= 4.4.0, < 4.4.9; >= 5.0.0, < 5.0.6 |
| fortinet | fortisandbox cloud | >= 5.0.4, < 5.0.6 |
| fortinet | fortisandbox paas | >= 5.0.4, < 5.0.6 |
Referenzen
- https://fortiguard.fortinet.com/psirt/FG-IR-26-141(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-25089(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
OS Command Injection tritt auf, wenn Software einen Betriebssystembefehl aus extern beeinflussten Eingaben konstruiert, ohne Spezialelemente wie Shell-Metazeichen korrekt zu neutralisieren. In FortiSandbox erreichen präparierte HTTP-Anfragen Codepfade, die OS-Befehle zusammensetzen, wodurch ein nicht authentifizierter, entfernter Angreifer beliebige Befehle auf dem Betriebssystem der Appliance einschleusen und ausführen kann.
Mehr erfahren: CWE-78 — Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
Auswirkungsanalyse
CVE-2026-25089 erreicht einen CVSS-3.1-Basiswert von 9.8 (Kritisch), weil alle Risikofaktoren zusammenkommen: Die Schwachstelle ist über HTTP aus der Ferne ohne physischen Zugang ausnutzbar, leicht auszunutzen ohne besondere Voraussetzungen, erfordert keine Authentifizierung und keine Benutzeraktion. Vertraulichkeit (Hoch): Ein Angreifer, der Befehle auf einer FortiSandbox-Appliance ausführt, kann auf Analyse-Artefakte, Konfigurationen und vom Gerät verarbeitete Zugangsdaten zugreifen. Integrität (Hoch): Eingeschleuste Befehle können das Verhalten der Appliance verändern — besonders gravierend bei einer Malware-Analyse-Sandbox, da Angreifer genau das System manipulieren oder blenden könnten, das sie erkennen soll. Verfügbarkeit (Hoch): Beliebige Befehlsausführung erlaubt es, den Sandbox-Dienst komplett außer Betrieb zu setzen. Angesichts der von CISA bestätigten aktiven Ausnutzung und eines EPSS-Werts von 36,1 %, der diese Schwachstelle in die obersten 2 % aller CVEs nach Ausnutzungswahrscheinlichkeit einordnet, stellen exponierte FortiSandbox-Management-Schnittstellen ein akutes, reales Risiko dar.
Exploit-Reifegrad
CVE-2026-25089 ist im CISA-Katalog der Known Exploited Vulnerabilities gelistet, aktive Ausnutzung in freier Wildbahn ist damit bestätigt; eine Nutzung durch Ransomware ist derzeit als „Unknown" eingestuft. Der EPSS-Wert von 36,1 % (98,3. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit — die Schwachstelle gehört zu den am wahrscheinlichsten ausgenutzten aller veröffentlichten CVEs. In den verfügbaren Referenzen ist kein öffentlicher Exploit-Code verlinkt; publiziert sind das Fortinet-PSIRT-Advisory FG-IR-26-141 und der CISA-KEV-Eintrag. Die Kombination aus bestätigter Ausnutzung und nicht authentifizierter Remote-Befehlsausführung bedeutet dennoch: Betroffene FortiSandbox-Instanzen sind mit höchster Priorität zu behandeln.
Behebung
- Befolgen Sie die von CISA im KEV-Katalog geforderte Maßnahme: Mitigationen gemäß Herstelleranweisungen anwenden, unter Einhaltung der BOD-26-04-Vorgaben zur risikobasierten Patch-Priorisierung und der „Forensics Triage Requirements" von CISA — oder den Einsatz des Produkts einstellen, falls keine Mitigationen verfügbar sind. Die KEV-Frist ist der 19.07.2026.
- Führen Sie das Upgrade gemäß Fortinet-Advisory FG-IR-26-141 durch: FortiSandbox 5.0.x auf 5.0.6 oder neuer, FortiSandbox 4.4.x auf 4.4.9 oder neuer; FortiSandbox 4.2 ist in allen Versionen betroffen und sollte auf einen gefixten Release-Zweig migriert werden. FortiSandbox Cloud und PaaS 5.0.4–5.0.5 müssen ebenfalls auf 5.0.6 oder neuer gebracht werden.
- Bis zum Patchen den Zugriff auf die FortiSandbox-HTTP-Schnittstelle einschränken: Management-Zugriff auf dedizierte Admin-Netze begrenzen, Internet-Exponierung unterbinden und strikte Firewall- oder WAF-Regeln auf den HTTP-Endpunkten durchsetzen.
- Appliance-Logs und HTTP-Zugriffslogs auf anomale oder fehlgeformte Anfragen, unerwartete Prozesse und Konfigurationsänderungen prüfen — Funde sind angesichts der bestätigten Ausnutzung in freier Wildbahn als potenzielle Kompromittierung zu behandeln.
- Zur langfristigen Härtung gegen Command Injection (CWE-78) gilt herstellerunabhängig: Shell-Aufrufe aus Anwendungscode vermeiden und parametrisierte APIs nutzen — für Appliance-Betreiber heißt das praktisch, die exponierte Management-Oberfläche zu minimieren und die FortiSandbox-Firmware stets auf aktuell unterstützten, gepatchten Ständen zu halten.
Technische Details
Die Schwachstelle ist eine OS Command Injection (CWE-78): FortiSandbox konstruiert Betriebssystembefehle unter Verwendung von Eingaben aus HTTP-Anfragen, ohne Spezialelemente, die den beabsichtigten Befehl verändern können, korrekt zu neutralisieren. Anders als allgemeine Command Injection zielt OS Command Injection direkt auf die System-Shell ab — ein Angreifer, der Shell-Metazeichen in den verwundbaren Parameter einschleusen kann, hängt eigene Befehle an oder ersetzt sie, die dann mit den Privilegien des FortiSandbox-Prozesses laufen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bildet das direkt ab: Der Angriff erfolgt netzwerkbasiert (AV:N) über präparierte HTTP-Anfragen, hat geringe Komplexität (AC:L), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N) und führt zu hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit der Appliance. Der Scope bleibt unverändert (S:U), die bewertete Auswirkung betrifft also das FortiSandbox-System selbst — die Kompromittierung einer Security-Appliance, die potenziell bösartige Dateien analysiert, positioniert den Angreifer jedoch tief innerhalb der Verteidigungsinfrastruktur.
Häufig gestellte Fragen
Wird CVE-2026-25089 aktiv ausgenutzt?
Ja. CVE-2026-25089 steht im CISA-Katalog der Known Exploited Vulnerabilities, was Ausnutzung in freier Wildbahn bestätigt; die behördliche Behebungsfrist ist der 19.07.2026. Der EPSS-Wert von 36,1 % im 98. Perzentil zeigt zudem, dass die Schwachstelle zu den am wahrscheinlichsten weiter ausgenutzten CVEs gehört.
Welche Produkte sind von CVE-2026-25089 betroffen?
Betroffen sind Fortinet FortiSandbox 5.0.0 bis 5.0.5, FortiSandbox 4.4.0 bis 4.4.8 und alle FortiSandbox-4.2-Versionen. Ebenfalls betroffen sind FortiSandbox Cloud und FortiSandbox PaaS in den Versionen 5.0.4 bis 5.0.5; behoben ist die Lücke ab 5.0.6 beziehungsweise 4.4.9.
Wie behebe ich CVE-2026-25089?
Aktualisieren Sie FortiSandbox gemäß Fortinet-Advisory FG-IR-26-141: 5.0.x-Installationen auf 5.0.6 oder neuer, 4.4.x auf 4.4.9 oder neuer; 4.2-Installationen sollten auf einen gefixten Release-Zweig migriert werden. Bis dahin den Zugriff auf die FortiSandbox-HTTP-Schnittstelle auf vertrauenswürdige Management-Netze beschränken und Logs auf verdächtige Anfragen überwachen.
Wie schwerwiegend ist CVE-2026-25089?
CVE-2026-25089 ist mit einem CVSS-3.1-Basiswert von 9.8 als Kritisch eingestuft und ermöglicht nicht authentifizierte Remote-Befehlsausführung mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Zusammen mit der bestätigten aktiven Ausnutzung und einem EPSS-Perzentil von 98,3 zählt sie zu den derzeit dringendsten Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.