CVE-2026-25089 : vulnérabilité critique dans FortiSandbox activement exploitée

CVE-2026-25089 : vulnérabilité critique dans FortiSandbox activement exploitée

En bref

CVE-2026-25089 est une vulnérabilité critique (CVSS 9.8) [1] découverte dans FortiSandbox de Fortinet, qui permet à un attaquant, sans avoir besoin d'identifiants, d'exécuter des commandes non autorisées sur le système au moyen de requêtes HTTP spécialement conçues [1]. Elle affecte plusieurs versions de FortiSandbox, FortiSandbox Cloud et FortiSandbox PaaS [1]. La vulnérabilité figure dans le catalogue des vulnérabilités activement exploitées (KEV) de CISA [2], ce qui signifie que son exploitation réelle par des attaquants a déjà été détectée. Si votre entreprise utilise FortiSandbox sous l'une de ses formes, la première chose à faire dès aujourd'hui est d'identifier la version déployée et de vérifier si elle se situe dans la plage affectée.

Qu'est-ce que c'est et pourquoi c'est important

Il s'agit d'une vulnérabilité d'injection de commandes du système d'exploitation (OS Command Injection) : une faille dans la manière dont l'application traite certaines entrées, qui permet à un attaquant d'insérer des commandes que le système exécute sans contrôle [1]. Dans ce cas précis, le problème affecte FortiSandbox, la solution de Fortinet conçue justement pour analyser et détecter les menaces, ce qui ajoute une nuance importante : si le système d'analyse de sécurité lui-même est compromis, l'organisation perd un élément clé de sa défense [1].

Ce qui fait que cette vulnérabilité mérite une attention prioritaire, ce n'est pas seulement son score de sévérité critique [1], mais le fait que son exploitation active est déjà confirmée selon le catalogue KEV de CISA [2]. Cela la place dans une catégorie différente des vulnérabilités théoriques : ce n'est pas un risque hypothétique, mais un risque déjà exploité par des attaquants dans le monde réel [2].

Qui est concerné

Selon les informations officielles, les variantes suivantes de FortiSandbox sont concernées [1] :

• FortiSandbox versions 5.0.0 à 5.0.5
• FortiSandbox versions 4.4.0 à 4.4.8
• FortiSandbox 4.2, toutes versions
• FortiSandbox Cloud, de la version 5.0.4 à 5.0.5
• FortiSandbox PaaS, de la version 5.0.4 à 5.0.5

Cela couvre aussi bien les déploiements sur site que les services gérés dans le cloud par Fortinet ; il convient donc de vérifier l'ensemble de l'inventaire des licences et contrats, et pas uniquement les équipements physiques installés au sein de votre propre infrastructure.

Comment savoir si vous êtes vulnérable

La première étape consiste à confirmer quelle version de FortiSandbox (ou de ses variantes Cloud/PaaS) est déployée dans votre organisation et à la comparer aux plages affectées indiquées ci-dessus [1]. Il convient de vérifier aussi bien les environnements de production que ceux de test, car ce type d'outils est également souvent déployé dans des environnements de laboratoire ou d'analyse de malwares, qui échappent parfois au radar habituel du déploiement des correctifs.

Au-delà de la vérification interne des versions, il est recommandé de vérifier quels services et ports d'administration sont exposés sur internet, car c'est généralement le vecteur exploité par ce type de faille. Chez OCIRIA, nous utilisons notre propre radar de surface exposée pour aider les entreprises à identifier les actifs Fortinet visibles depuis l'extérieur avant que des tiers ne le fassent.

Comment vous protéger

• Identifiez tous les systèmes FortiSandbox, FortiSandbox Cloud et FortiSandbox PaaS de votre organisation, y compris les environnements de test et de laboratoire.
• Vérifiez la version installée par rapport aux plages affectées publiées par Fortinet et NVD [1].
• Appliquez les mises à jour de sécurité fournies par Fortinet dès qu'elles sont disponibles pour votre version spécifique, en priorisant ce système puisqu'il s'agit d'une vulnérabilité dont l'exploitation active est confirmée [1][2].
• Si vous ne pouvez pas effectuer la mise à jour immédiatement, limitez l'accès à l'interface d'administration aux seuls réseaux de confiance et examinez les journaux d'accès à la recherche de requêtes HTTP anormales.
• Vérifiez la présence d'indicateurs de compromission sur les systèmes affectés, en particulier s'ils ont été exposés sur internet sans restriction.
• Documentez le processus de correction et de vérification dans le cadre de votre gestion des vulnérabilités, étant donné qu'il s'agit d'un cas déjà répertorié dans le catalogue KEV de CISA [2].

Questions fréquentes

Faut-il disposer d'identifiants pour exploiter cette vulnérabilité ?

Non. La description officielle indique qu'un attaquant non authentifié peut exécuter des commandes non autorisées au moyen de requêtes HTTP spécifiquement conçues [1].

Cette vulnérabilité est-elle actuellement exploitée ?

Oui, la vulnérabilité figure dans le catalogue des vulnérabilités activement exploitées (KEV) tenu par CISA [2].

Affecte-t-elle uniquement les installations locales de FortiSandbox ?

Non. Les versions de FortiSandbox Cloud et FortiSandbox PaaS comprises dans la plage indiquée sont également concernées [1], il convient donc de vérifier également les services gérés par Fortinet.

Que faire si je ne peux pas appliquer le correctif immédiatement ?

Réduisez l'exposition en limitant l'accès à l'interface d'administration et surveillez l'activité du système pendant que vous planifiez la mise à jour, étant donné qu'il s'agit d'une faille critique dont l'exploitation active est confirmée [1][2].

Sources

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-25089
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json