Fortinet разкри критична уязвимост за заобикаляне на автентикацията в графичния потребителски интерфейс на FortiSandbox, която може да позволи на отдалечени атакуващи да получат достъп до защитени функции без валидни идентификационни данни. Обозначен като CVE-2026-107656, дефектът е с отчетен CVSSv3 рейтинг от 9.6 и засяга както хардуерните устройства FortiSandbox, така и избрани версии на FortiSandbox PaaS.

Публикувано на 13 октомври 2026 г., разкритието се проследява под бюлетин за сигурност на Fortinet FG-IR-26-185. Fortinet посочва потенциалното въздействие като изпълнение на неоторизиран код или команди. В бюлетина известната експлоатация е маркирана като „Не“, което означава, че разкритието не установява атакуващи вече да са използвали тази уязвимост в реални атаки.

Слабостта е класифицирана като CWE-288, Заобикаляне на автентикацията чрез използване на алтернативен път или канал. Отдалечен атакуващ може да изпрати специално модифицирани HTTP заявки, за да заобиколи автентикацията в графичния интерфейс. Предоставеният CVSS вектор описва мрежова атака с ниска сложност, без изискване за привилегии и без необходимост от взаимодействие с потребителя.

Бюлетинът не предоставя конкретни пътища на заявките, зловреден код за експлоатация или подробна верига на атаката. Тези ограничения са от значение при оценката на изложеността на риск. Екипите по сигурност не бива да предполагат, че този дефект споделя същия метод за експлоатация като по-ранни уязвимости за заобикаляне на автентикацията във FortiSandbox, които са засягали различни компоненти и класове уязвимости.

Засегнати версии и необходими обновления

Версиите на FortiSandbox от 5.0.0 до 5.0.6 са засегнати и изискват надграждане до 5.0.7 или по-нова версия. Версиите от 4.4.0 до 4.4.9 изискват надграждане до 4.4.10 или по-нова. FortiSandbox 5.2 не е засегнат.

При FortiSandbox PaaS версиите от 5.0.0 до 5.0.6 изискват надграждане до 5.0.7 или по-нова. Всички PaaS 4.4 версии са засегнати и Fortinet насочва клиентите да мигрират към коригирана версия. PaaS 5.2 не е засегнат. Не е посочена виртуална корекция за сигурност.

Fortinet отдава признание на Адхам Ел Карн от своя екип по продуктова сигурност за вътрешното откриване и докладване на проблема. Компанията също така благодари на Джейсън Макфадиън от TrendAI Research за отговорното разкриване.

Отделна уязвимост за разкриване на чувствителни данни във FortiSandbox по-рано засягаше уеб интерфейса, но нейните корекции не трябва да се считат за защита срещу този нов дефект. Администраторите трябва да проверят точния си продукт и версия спрямо новия бюлетин, преди да изберат надграждане. Това предотвратява объркването на отделни корекции за сигурност.