Die US-Behörde CISA hat am 16. Juli 2026 die FortiSandbox-Schwachstellen CVE-2026-39808 und CVE-2026-25089 in ihren Katalog ausgenutzter Lücken aufgenommen. Beide sind OS-Command-Injection-Fehler mit CVSS 9.1, die ohne Anmeldung über manipulierte HTTP-Anfragen angreifbar sind. US-Behörden mussten bis zum 19. Juli patchen. Der Artikel nennt betroffene und behobene Versionen sowie die Schritte für Betreiber.
Zwei kritische Lücken mit CVSS 9.1 in FortiSandbox werden angegriffen, und die Fixes liegen seit Monaten bereit. CISA hat sie am 16. Juli 2026 in ihren Katalog ausgenutzter Schwachstellen aufgenommen.
Das Wichtigste in Kürze
- Zwei Lücken mit CVSS 9.1 werden angegriffen. CVE-2026-39808 und CVE-2026-25089 sind OS-Command-Injection-Fehler, die ein Angreifer ohne Anmeldung per manipulierter HTTP-Anfrage auslöst.
- Die Korrekturen sind lange verfügbar. Fortinet hat die Fehler am 14. April und am 9. Juni behoben.
- US-Behörden mussten bis zum 19. Juli patchen. Die Frist folgt aus der Direktive BOD 26-04, nachdem CISA die Lücken am 16. Juli in den KEV-Katalog aufnahm.
- Die Ausnutzung läuft laut BleepingComputer seit mindestens dem 16. Juni. Fortinet hatte sie zum Zeitpunkt der Meldung nicht bestätigt.
FortiSandbox: Was CISA gemeldet hat
BleepingComputer hat am 17. Juli 2026 erstmals über die Aufnahme berichtet und den Bericht laut Seite nicht aktualisiert. Infosecurity Magazine nennt den 16. Juli als Datum des Katalogeintrags. Die Warnung zur Ausnutzung stammt von Defused. Der Hersteller hatte sie laut BleepingComputer zur Veröffentlichung nicht bestätigt.
Dabei ist der Angriff einfach: Eine präparierte HTTP-Anfrage genügt, um Befehle auszuführen. BleepingComputer beschreibt ihn als Angriff mit geringer Komplexität, der keine Interaktion eines Nutzers braucht.
Welche Versionen betroffen sind
| CVE | Betroffene Versionen | Behoben in | Bemerkung |
|---|---|---|---|
| CVE-2026-39808 | 4.4.0 bis 4.4.8 | 4.4.9 | Offengelegt am 14. April 2026 |
| CVE-2026-25089 | 4.2 (alle), 4.4.0 bis 4.4.8, 5.0.0 bis 5.0.5 | 4.4.9 und 5.0.6 | Offengelegt am 9. Juni 2026; Cloud und PaaS 5.0.4 bis 5.0.5 ebenfalls betroffen |
Die Angaben stammen von Infosecurity Magazine. Für die Reihe 4.2 nennt die Quelle keine eigene Fixversion, sondern nur 4.4.9 und 5.0.6. Betreiber von 4.2 müssen deshalb auf eine dieser Versionen wechseln.
Was Betreiber jetzt tun
Damit die Lücken zügig zu sind, gehst du in dieser Reihenfolge vor:
- Stelle fest, welche FortiSandbox-Version und welche Bereitstellung du betreibst, lokal oder in der Cloud.
- Spiele die gefixte Version ein, also 4.4.9 oder 5.0.6.
- Prüfe die Systeme auf verdächtige Zugriffe, denn die Ausnutzung läuft seit Wochen.
- Ist keine Abhilfe möglich, empfiehlt CISA laut Infosecurity Magazine, Cloud-Bereitstellungen abzuschalten.
Einen ähnlichen Fall behandelt der Beitrag über MikroTik RouterOS, bei dem ebenfalls Lücken ausgenutzt wurden.
Fazit
Der Fall zeigt, wie lange eine behobene Lücke ausnutzbar bleibt, wenn Updates ausbleiben. Beide Fehler sind kritisch und ohne Anmeldung erreichbar. Prüfe deshalb heute deine FortiSandbox-Stände und installiere 4.4.9 oder 5.0.6.
Quellen: BleepingComputer, Infosecurity Magazine. Foto: B_A / Pixabay. Stand: 17. Juli 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.