FortiSandbox sotto attacco: sfruttate attivamente tre vulnerabilità critiche

Gli esperti di sicurezza hanno rilevato una campagna di attacchi che prende di mira tre vulnerabilità critiche presenti in FortiSandbox, la piattaforma di analisi malware di Fortinet. Le falle, identificate come CVE-2026-39813, CVE-2026-39808 e CVE-2026-25089, consentono a un attaccante remoto non autenticato di compromettere i sistemi vulnerabili e ottenere l’esecuzione di codice arbitrario.

Le vulnerabilità coinvolte
Le prime due falle erano già state corrette da Fortinet nell’aprile 2026, ma numerose installazioni risultano ancora esposte.

CVE-2026-39813: bypass dell’autenticazione tramite Path Traversal
Questa vulnerabilità interessa l’API JRPC di FortiSandbox e consente a un aggressore di aggirare i controlli di autenticazione attraverso richieste HTTP appositamente costruite. La falla è classificata come critica e può rappresentare il primo passo per ottenere accesso non autorizzato al sistema.

CVE-2026-39808: esecuzione di comandi da remoto
La seconda vulnerabilità è un difetto di tipo OS Command Injection che permette l’esecuzione di comandi arbitrari senza autenticazione. Sfruttando richieste HTTP manipolate, un attaccante può ottenere il controllo del dispositivo compromesso.

CVE-2026-25089: una nuova minaccia già sfruttata
La terza vulnerabilità, corretta solo pochi giorni fa, riguarda un’altra falla di command injection che interessa non solo FortiSandbox, ma anche le versioni Cloud e PaaS del prodotto. Secondo le segnalazioni, questa vulnerabilità è già oggetto di sfruttamento attivo da parte di cybercriminali.

Attacchi in corso
La società di threat intelligence Defused Cyber ha osservato tentativi di sfruttamento delle tre vulnerabilità nelle ultime 24 ore. In particolare, gli aggressori possono combinare CVE-2026-39813 e CVE-2026-39808 per ottenere una compromissione completa del sistema: prima aggirano l’autenticazione e successivamente eseguono codice con privilegi elevati.

Impatti potenziali
L’eventuale compromissione di FortiSandbox può avere conseguenze molto gravi per le organizzazioni, poiché il prodotto viene utilizzato per analizzare file sospetti e malware all’interno delle infrastrutture aziendali.

Tra i possibili effetti di un attacco riuscito figurano:

Esecuzione remota di codice con privilegi elevati;
Installazione di backdoor persistenti;
Furto di credenziali e informazioni sensibili;
Distribuzione di ransomware;
Movimento laterale all’interno della rete aziendale;
Disattivazione o elusione dei meccanismi di rilevamento delle minacce.
Versioni vulnerabili

Le versioni maggiormente esposte risultano essere:

FortiSandbox 4.4.0 – 4.4.8
FortiSandbox 5.0.0 – 5.0.5
Alcune versioni di FortiSandbox Cloud e FortiSandbox PaaS per quanto riguarda CVE-2026-25089.

Cosa fare subito
Le organizzazioni che utilizzano FortiSandbox dovrebbero verificare immediatamente la propria versione e applicare gli aggiornamenti di sicurezza rilasciati da Fortinet.

Per mitigare il rischio è consigliabile:

Aggiornare alle versioni corrette disponibili;
Limitare l’esposizione delle interfacce di gestione a Internet;
Monitorare i log alla ricerca di attività sospette;
Implementare controlli aggiuntivi di accesso alle console amministrative.

Con attacchi già osservati in ambiente reale, il tempo di reazione rappresenta un fattore cruciale per evitare compromissioni e possibili interruzioni operative.