Kerngegevens
- Leverancier
- Fortinet
- Soort software
- firewall
- Getroffen versies
- FortiSandbox 5.0.0 t/m 5.0.6, 4.4.0 t/m 4.4.9 (5.2 niet getroffen)
- FortiSandbox PaaS 5.0.0 t/m 5.0.6, 4.4 alle versies (5.2 niet getroffen)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- FortiSandbox 5.0.7 of 4.4.10
- FortiSandbox PaaS 5.0.7 (4.4: migreren naar een opgeloste release)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de webbeheerinterface van Fortinet FortiSandbox zit een fout waardoor de inlogcontrole omzeild kan worden. Een aanvaller zonder account kan met speciaal opgestelde HTTP-verzoeken opdrachten laten uitvoeren op het apparaat. Fortinet heeft het lek op 13 oktober 2026 bekendgemaakt en updates uitgebracht. Er is nog geen misbruik bekend.
Wie loopt risico?
Je loopt risico als je FortiSandbox 5.0.0 t/m 5.0.6 of 4.4.0 t/m 4.4.9 gebruikt, of FortiSandbox PaaS 5.0 of 4.4. Versie 5.2 is niet getroffen. De aanval gaat via de beheerinterface en vereist geen inlog en geen handelingen van een gebruiker. Is die interface bereikbaar vanaf internet of andere onbetrouwbare netwerken, dan is het risico het grootst.
Wat moet je doen?
Controleer of je FortiSandbox gebruikt
Kijk na of je FortiSandbox of FortiSandbox PaaS draait en welke versie dat is. Getroffen zijn 5.0.0 t/m 5.0.6 en 4.4.0 t/m 4.4.9; 5.2 is niet getroffen.
Werk bij naar een opgeloste versie
Installeer FortiSandbox 5.0.7 of 4.4.10 of nieuwer, of stap over op 5.2. Voor FortiSandbox PaaS 4.4 is er geen patch: migreer naar 5.0.7 of 5.2. Zie advies FG-IR-26-185 van Fortinet.
Beperk de blootstelling
Zorg dat de webinterface van FortiSandbox niet vanaf internet of andere onbetrouwbare netwerken bereikbaar is. Sta beheer alleen toe vanaf vertrouwde systemen.
Houd het systeem in de gaten
Let op ongebruikelijke HTTP-verzoeken naar de beheerinterface en onverwachte wijzigingen op het systeem, zeker als je nog niet hebt bijgewerkt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een omzeiling van authenticatie via een alternatief pad of kanaal (CWE-288) in de webbeheerinterface (GUI) van FortiSandbox en FortiSandbox PaaS. Fortinet omschrijft het als onjuiste toegangscontrole en sessiebeheer. Met speciaal opgestelde HTTP-verzoeken kan een aanvaller zonder inlog de authenticatie omzeilen en ongeautoriseerde code of opdrachten uitvoeren. De CVSS 3.1-vector (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) wijst op een aanval via het netwerk, met lage complexiteit, zonder rechten en zonder gebruikersinteractie. Fortinet noemt in zijn advies een score van 9,6. Het lek is intern ontdekt en volgens Fortinet niet actief misbruikt.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-288 · Authenticatiebypass via een alternatief pad of kanaal
- Aanvalsroute
- Via het netwerk of internet
- Aanvalscode openbaar
- Nee