CVE-2026-25089: kritische Schwachstelle in FortiSandbox wird aktiv ausgenutzt

CVE-2026-25089: kritische Schwachstelle in FortiSandbox wird aktiv ausgenutzt

In Kürze

CVE-2026-25089 ist eine kritische Schwachstelle (CVSS 9.8) [1], die in FortiSandbox von Fortinet entdeckt wurde und es einem Angreifer ohne Anmeldedaten ermöglicht, mittels speziell manipulierter HTTP-Anfragen nicht autorisierte Befehle auf dem System auszuführen [1]. Betroffen sind mehrere Versionen von FortiSandbox, FortiSandbox Cloud und FortiSandbox PaaS [1]. Die Schwachstelle ist im Katalog der aktiv ausgenutzten Schwachstellen (KEV) der CISA gelistet [2], was bedeutet, dass ihre tatsächliche Nutzung durch Angreifer bereits festgestellt wurde. Wenn dein Unternehmen FortiSandbox in irgendeiner seiner Varianten einsetzt, solltest du als Erstes noch heute prüfen, welche Version bei euch im Einsatz ist und ob sie im betroffenen Bereich liegt.

Was es ist und warum es wichtig ist

Es handelt sich um eine Schwachstelle vom Typ Betriebssystem-Befehlsinjektion (OS Command Injection): einen Fehler in der Art und Weise, wie die Anwendung bestimmte Eingaben verarbeitet, der es einem Angreifer ermöglicht, Befehle einzuschleusen, die das System unkontrolliert ausführt [1]. In diesem Fall betrifft das Problem FortiSandbox, die Lösung von Fortinet, die eigentlich zur Analyse und Erkennung von Bedrohungen entwickelt wurde – ein relevanter Aspekt: Wird das eigene Sicherheitsanalysesystem selbst kompromittiert, verliert die Organisation einen zentralen Baustein ihrer Verteidigung [1].

Was diese Schwachstelle zu einer vorrangigen Angelegenheit macht, ist nicht nur ihr kritischer Schweregrad [1], sondern die Tatsache, dass ihre aktive Ausnutzung laut dem KEV-Katalog der CISA bereits bestätigt ist [2]. Damit fällt sie in eine andere Kategorie als theoretische Schwachstellen: Es handelt sich nicht um ein hypothetisches Risiko, sondern um eines, das Angreifer bereits in der Praxis ausnutzen [2].

Wen es betrifft

Laut offiziellen Angaben sind folgende Varianten von FortiSandbox betroffen [1]:

• FortiSandbox Versionen 5.0.0 bis 5.0.5
• FortiSandbox Versionen 4.4.0 bis 4.4.8
• FortiSandbox 4.2, alle Versionen
• FortiSandbox Cloud, von Version 5.0.4 bis 5.0.5
• FortiSandbox PaaS, von Version 5.0.4 bis 5.0.5

Dies umfasst sowohl On-Premise-Bereitstellungen als auch von Fortinet verwaltete Cloud-Dienste. Es empfiehlt sich daher, das gesamte Bestandsverzeichnis von Lizenzen und Verträgen zu überprüfen, nicht nur die in der eigenen Infrastruktur installierten physischen Geräte.

Wie du feststellst, ob du betroffen bist

Der erste Schritt besteht darin, zu bestätigen, welche Version von FortiSandbox (oder seiner Cloud/PaaS-Varianten) in deiner Organisation eingesetzt wird, und sie mit den oben genannten betroffenen Bereichen abzugleichen [1]. Dabei sollten sowohl Produktions- als auch Testumgebungen geprüft werden, da diese Art von Tools häufig auch in Labor- oder Malware-Analyseumgebungen eingesetzt wird, die manchmal außerhalb des üblichen Patch-Radars liegen.

Neben der internen Versionsprüfung empfiehlt es sich zu kontrollieren, welche Verwaltungsdienste und -ports dem Internet ausgesetzt sind, da dies in der Regel der Vektor ist, den diese Art von Schwachstellen ausnutzt. Bei OCIRIA nutzen wir unseren eigenen Radar für die exponierte Angriffsfläche, um Unternehmen dabei zu helfen, von außen sichtbare Fortinet-Assets zu identifizieren, bevor Dritte dies tun.

Wie du dich schützt

• Identifiziere alle FortiSandbox-, FortiSandbox-Cloud- und FortiSandbox-PaaS-Systeme in deiner Organisation, einschließlich Test- und Laborumgebungen.
• Überprüfe die installierte Version anhand der von Fortinet und der NVD veröffentlichten betroffenen Bereiche [1].
• Spiele die von Fortinet bereitgestellten Sicherheitsupdates ein, sobald sie für deine konkrete Version verfügbar sind, und priorisiere dieses System, da es sich um eine Schwachstelle mit bestätigter aktiver Ausnutzung handelt [1][2].
• Wenn du nicht sofort aktualisieren kannst, beschränke den Zugriff auf die Verwaltungsoberfläche auf vertrauenswürdige Netzwerke und überprüfe die Zugriffsprotokolle auf ungewöhnliche HTTP-Anfragen.
• Prüfe die betroffenen Systeme auf Kompromittierungsindikatoren, insbesondere wenn sie ohne Einschränkungen dem Internet ausgesetzt waren.
• Dokumentiere den Patch- und Verifizierungsprozess als Teil deines Schwachstellenmanagements, da es sich um einen Fall handelt, der bereits im KEV-Katalog der CISA gelistet ist [2].

Häufig gestellte Fragen

Sind Anmeldedaten erforderlich, um diese Schwachstelle auszunutzen?

Nein. Der offiziellen Beschreibung zufolge kann ein nicht authentifizierter Angreifer mittels speziell manipulierter HTTP-Anfragen nicht autorisierte Befehle ausführen [1].

Wird diese Schwachstelle derzeit aktiv ausgenutzt?

Ja, die Schwachstelle ist im Katalog der aktiv ausgenutzten Schwachstellen (KEV) gelistet, den die CISA führt [2].

Betrifft es nur lokale Installationen von FortiSandbox?

Nein. Auch die Versionen von FortiSandbox Cloud und FortiSandbox PaaS innerhalb des angegebenen Bereichs sind betroffen [1], weshalb auch die von Fortinet verwalteten Dienste überprüft werden sollten.

Was soll ich tun, wenn ich den Patch nicht sofort einspielen kann?

Reduziere die Angriffsfläche, indem du den Zugriff auf die Verwaltungsoberfläche einschränkst, und überwache die Systemaktivität, während du die Aktualisierung planst, da es sich um einen kritischen Fehler mit bestätigter aktiver Ausnutzung handelt [1][2].

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-25089
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json