CVE-2026-25089criticalbajo ataqueCWE-78

CVE-2026-25089: fallo crítico en Fortinet FortiSandbox

Publicada el · Actualizada el

100Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.1epss 76%
de la publicación al arma1 días
Publicada en NVD9 jun
1ª PoC+1d
CISA KEV+37d
probabilidad de explotación
76%top 1% de las CVE
explotación observada
síCISA + VulnCheck
2 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2026-07-19

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

Una falla en Fortinet FortiSandbox permite que atacantes inyecten comandos maliciosos en el sistema a través de solicitudes web especialmente elaboradas sin necesidad de autenticación. Esto permite ejecutar comandos no autorizados y tomar control del sistema.

Detalle técnico

Vulnerabilidad de inyección de comandos del sistema operativo en FortiSandbox versiones 5.0.0-5.0.5, 4.4.0-4.4.8, 4.2 (todas), Cloud 5.0.4-5.0.5 y PaaS 5.0.4-5.0.5 por neutralización inadecuada de caracteres especiales en solicitudes HTTP. Atacantes remotos no autenticados pueden ejecutar comandos arbitrarios del sistema mediante payloads HTTP maliciosos, resultando en compromiso total del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 through 4.4.8, FortiSandbox 4.2 all versions, FortiSandbox Cloud 5.0.4 through 5.0.5, FortiSandbox PaaS 5.0.4 through 5.0.5 may allow an unauthenticated attacker to execute unauthorized commands via specifically crafted HTTP requests
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C
Productos afectados
Fortinet · FortiSandboxFortinet · FortiSandbox CloudFortinet · FortiSandbox PaaS
PoCs públicas encontradas — 2
githubgithub.com/HORKimhab/CVE-2026-25089★ 6githubgithub.com/0xBlackash/CVE-2026-25089★ 3
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Fortinet FortiSandbox

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-39808CRITICALCVE-2026-39808EPSS 47.4%KEVCVE-2024-27781MEDIUMCVE-2024-27781EPSS 28.2%CVE-2025-53949HIGHCVE-2025-53949EPSS 17.2%CVE-2025-53679MEDIUMCVE-2025-53679EPSS 12.3%CVE-2024-54018MEDIUMCVE-2024-54018EPSS 10.0%CVE-2025-52436HIGHCVE-2025-52436EPSS 7.3%
Referencias
https://fortiguard.fortinet.com/psirt/FG-IR-26-141https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-25089