CVE-2026-25089

Injeção de comando OS de segundo grau (CWE-78) na interface web do FortiSandbox, FortiSandbox Cloud e FortiSandbox PaaS, explorável por um atacante não autenticado através de requisições HTTP com JSON malformado voltadas à funcionalidade de início de sessão VNC. A CISA já colocou a falha no catálogo KEV com prazo de correção de apenas três dias, sinal de exploração ativa confirmada, mesmo tendo sido descoberta internamente pela Fortinet — não há relato de pesquisador externo por trás da descoberta.

A vulnerabilidade está na WEB UI do FortiSandbox, no fluxo que trata o recurso 'start vnc' (usado para visualizar interativamente a execução de amostras dentro do sandbox). O advisory da Fortinet a classifica como injeção de comando OS de 'segundo grau' (second-order): um campo do corpo JSON enviado ao endpoint não é sanitizado no momento do recebimento, mas fica armazenado e é posteriormente concatenado, sem neutralização adequada de metacaracteres de shell, na construção de um comando do sistema operacional quando o backend efetivamente inicia a sessão VNC.

O padrão de segundo grau é relevante para quem for investigar: o payload malicioso não aparece executado no mesmo request que o entregou, e sim num passo posterior do processamento (quando o serviço lê o valor armazenado e monta a linha de comando). Isso complica correlação em logs se o analista só olhar o request de entrada isoladamente.

O CVSS 3.1 (9.1, AV:N/AC:L/PR:N/UI:N/C:H/I:H/A:H) reflete acesso via rede, baixa complexidade, sem necessidade de privilégio ou interação do usuário, e impacto total em confidencialidade, integridade e disponibilidade — consistente com execução de comando arbitrário no sistema operacional subjacente ao appliance.

O vetor é uma requisição HTTP com JSON especialmente construído enviada à interface web/API do FortiSandbox, sem necessidade de autenticação prévia — o advisório classifica o tipo de ataque explicitamente como 'Unauthenticated'. O ponto de injeção está associado ao recurso de início de VNC, então o pré-requisito funcional é que o atacante consiga alcançar o endpoint HTTP correspondente na interface de administração do produto.

Como a injeção é de segundo grau, a exploração depende de o valor malicioso ser processado num momento posterior pelo componente que efetivamente monta e executa o comando do sistema — não há detalhe público sobre o parâmetro exato nem sobre a sintaxe do payload nas fontes disponíveis, e não convém especular sobre isso aqui. O resultado final documentado pelo fornecedor é execução de comandos não autorizados no sistema operacional do appliance, o que em um dispositivo de sandbox — que recebe amostras de outros componentes Fortinet para análise — representa comprometimento total do host e possível ponto de pivô dentro da rede de segurança da organização.

A CISA adicionou o CVE ao catálogo KEV em 2026-07-16 com prazo de correção em 2026-07-19, uma janela de apenas três dias, o que indica avaliação de exploração ativa e urgência alta por parte da agência. O atributo 'Known To Be Used in Ransomware Campaigns' está marcado como 'Unknown' — não há confirmação de uso em campanhas de ransomware até a publicação.

A correção definitiva é atualizar para a versão que fecha a falha em cada ramo: FortiSandbox 5.0.6 ou superior (para 5.0.0–5.0.5), FortiSandbox 4.4.9 ou superior (para 4.4.0–4.4.8), FortiSandbox Cloud 5.0.6 ou superior e FortiSandbox PaaS 5.0.6 ou superior (ambos para 5.0.4–5.0.5). O ramo 5.2 não é afetado em nenhum dos três produtos.

Para FortiSandbox 4.2 (todas as versões, segundo a descrição oficial) o advisório da Fortinet não lista uma versão corrigida nesse ramo — apenas os ramos 5.0 e 4.4 têm patch indicado na tabela do PSIRT. Isso sugere que o ramo 4.2 está fora de manutenção corrigida e a migração para uma versão suportada (4.4.9+ ou 5.0.6+) é o caminho, não uma atualização dentro do próprio 4.2.

Como controle compensatório enquanto o patch não é aplicado, restringir o acesso de rede à interface administrativa/GUI do FortiSandbox a uma rede de gerência confiável reduz a exposição, já que o ataque depende de alcançar esse endpoint HTTP sem autenticação. Isso não elimina a vulnerabilidade, apenas reduz a superfície de ataque até a atualização. Não há indicação nas fontes de uma flag de configuração ou desativação de recurso específico que neutralize a falha sem atualizar — se esse paliativo existir, não foi documentado no advisory consultado.

As fontes consultadas (advisory da Fortinet e entrada da CISA no KEV) não trazem indicadores de comprometimento, assinaturas de payload ou exemplos de requisição maliciosa — não há sinal de detecção confiável publicado por essas fontes. Como orientação geral derivada do próprio mecanismo, vale inspecionar logs HTTP da interface web do FortiSandbox por requisições POST com corpo JSON dirigidas a endpoints relacionados ao início de sessão VNC contendo metacaracteres de shell (como ; | ` $( ) &&), e correlacionar com execução anômala de processos pelo usuário do serviço web no host logo após esse tipo de requisição, já que a injeção é processada em um passo posterior ao recebimento do request (segundo grau).