Kerngegevens
- Leverancier
- Fortinet
- Soort software
- firewall
- Getroffen versies
- FortiSandbox 4.4.0 t/m 4.4.8
- FortiSandbox PaaS versies ouder dan 5.0 (21.3 t/m 23.4)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- FortiSandbox 4.4.9 (advies: 4.4.10 of 5.0.7)
- FortiSandbox PaaS 5.0.2 (advies: 5.0.7)
- CVE gepubliceerd
- 14 april 2026
- Op de KEV-lijst sinds
- 16 juli 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Fortinet FortiSandbox zit een fout waarbij speciale tekens in invoer niet goed worden gefilterd (OS-commando-injectie). Daardoor kan een aanvaller via het netwerk eigen opdrachten laten uitvoeren op het onderliggende systeem, zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. Het lek staat sinds juli 2026 op de lijst van actief misbruikte lekken van CISA en er is publieke exploitcode beschikbaar.
Wie loopt risico?
Je loopt risico als je FortiSandbox 4.4.0 tot en met 4.4.8 gebruikt, of FortiSandbox PaaS ouder dan 5.0. Het risico is het grootst als de webinterface van het systeem bereikbaar is vanaf andere netwerken of vanaf internet. Let op: ook 4.4.9 is niet veilig, want daarin zit een ander kritiek lek (CVE-2026-107656) dat pas in 4.4.10 is opgelost.
Wat moet je doen?
Controleer je versie
Kijk na of je FortiSandbox 4.4.0 tot en met 4.4.8 of FortiSandbox PaaS ouder dan 5.0 draait.
Werk bij naar een veilige versie
Fortinet loste dit lek op in FortiSandbox 4.4.9 en PaaS 5.0.2. Werk bij voorkeur direct bij naar FortiSandbox 4.4.10 of 5.0.7 en PaaS 5.0.7: dan is ook het kritieke lek CVE-2026-107656 van oktober 2026 opgelost. Zie FortiGuard-advies FG-IR-26-100.
Beperk de bereikbaarheid
Zorg dat de webinterface van FortiSandbox niet vanaf internet bereikbaar is en laat alleen vertrouwde beheersystemen toe.
Controleer op sporen van misbruik
Het lek wordt actief misbruikt en er is publieke exploitcode. Zoek in de logbestanden naar verzoeken naar /fortisandbox/job-detail/tracer-behavior met vreemde tekens in de parameter jid, en naar verzoeken naar onbekende bestanden onder /ng/.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een OS-commando-injectie (CWE-78) in FortiSandbox. Invoer wordt onvoldoende gezuiverd voordat die in een systeemopdracht wordt gebruikt. Volgens onderzoekers gaat het om de parameter jid van het endpoint /fortisandbox/job-detail/tracer-behavior, waarin een aanvaller zonder inlog shell-tekens kan injecteren via een speciaal samengesteld HTTP-verzoek. De CVSS-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) geeft een score van 9,8. Er is publieke exploitcode en een detectiesjabloon beschikbaar. Het lek staat sinds 16 juli 2026 op de KEV-lijst. Fortinet loste het op in FortiSandbox 4.4.9 en FortiSandbox PaaS 5.0.2.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in een OS-commando (OS-commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 93,2%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 16 juli 2026
- Deadline van CISA
- 19 juli 2026
- Gebruikt door ransomwaregroepen
- Niet bekend