FortiSandbox, CVE-2026-107656: bypass dell’autenticazione nella GUI (CVSS 9.6)
Fortinet ha pubblicato l'advisory FG-IR-26-185 su una falla critica nella GUI di FortiSandbox. Un attaccante remoto può aggirare l'autenticazione. Disponibili le versioni corrette.
- Fortinet: bypass dell'autenticazione nella GUI di FortiSandbox, CVE-2026-107656, CVSS 9.6
- Colpite FortiSandbox 5.0.0-5.0.6 e 4.4.0-4.4.9, più PaaS 5.0.0-5.0.6 e tutte le 4.4
- Nessuno sfruttamento noto secondo l'advisory FG-IR-26-185
- Aggiornare a 5.0.7 o 4.4.10; i clienti PaaS 4.4 devono migrare a una release corretta
Il 13 ottobre 2026 Fortinet ha reso pubblica una vulnerabilità critica nell’interfaccia grafica (GUI) di FortiSandbox. La falla, identificata come CVE-2026-107656, consente a un attaccante remoto di accedere a funzioni protette senza credenziali valide. Il punteggio CVSSv3 riportato è 9,6. Sono coinvolti sia le appliance FortiSandbox sia alcune release di FortiSandbox PaaS.
Che cosa si sa della vulnerabilità
L’avviso è registrato come FG-IR-26-185. Il difetto è classificato come CWE-288, ovvero bypass dell’autenticazione attraverso un percorso o un canale alternativo. Secondo la descrizione, un attaccante può inviare richieste HTTP costruite ad hoc per superare l’autenticazione della GUI.
Il vettore CVSS indica un attacco via rete, di bassa complessità, senza privilegi richiesti e senza interazione dell’utente. Fortinet indica come possibile impatto l’esecuzione di codice o comandi non autorizzati.
Nell’avviso lo sfruttamento attivo è segnato come «No»: al momento non risulta quindi che la falla sia stata usata in attacchi reali. L’advisory non fornisce percorsi di richiesta specifici, payload o una catena d’attacco dettagliata.
La fonte avverte di non assumere che il metodo di sfruttamento sia lo stesso di precedenti bypass dell’autenticazione in FortiSandbox, che riguardavano componenti e classi di vulnerabilità diversi.
Versioni interessate e aggiornamenti
- FortiSandbox 5.0.0 – 5.0.6: aggiornare a
5.0.7o successiva. - FortiSandbox 4.4.0 – 4.4.9: aggiornare a
4.4.10o successiva. - FortiSandbox 5.2: non interessata.
- FortiSandbox PaaS 5.0.0 – 5.0.6: aggiornare a
5.0.7o successiva. - FortiSandbox PaaS 4.4: tutte le versioni sono interessate; Fortinet chiede di migrare a una release corretta.
- FortiSandbox PaaS 5.2: non interessata.
Non è indicata alcuna patch virtuale.
Cosa fare
Gli amministratori devono confrontare prodotto e release esatti con il nuovo advisory prima di scegliere l’aggiornamento. Una precedente vulnerabilità di esposizione di dati sensibili nell’interfaccia web di FortiSandbox ha avuto correzioni distinte: quelle fix non proteggono da questa nuova falla.
La scoperta è stata segnalata internamente da Adham El Karn, del team Product Security di Fortinet. Fortinet ringrazia anche Jason McFadyen di TrendAI Research per la divulgazione responsabile.
Fonte: Cyber Security News · Foto: Cyber Security News
