FortiSandbox tem falha crítica que permite contornar autenticação
A Fortinet alertou para uma vulnerabilidade crítica na interface gráfica do FortiSandbox. Identificada como CVE-2026-107656, a falha pode permitir que um invasor remoto acesse funções protegidas sem apresentar credenciais válidas. O problema recebeu nota 9,6 na escala CVSSv3 e afeta determinados appliances e versões do FortiSandbox PaaS.
Segundo o comunicado FG-IR-26-185, publicado em 13 de outubro de 2026, a vulnerabilidade pode abrir caminho para a execução de comandos ou código sem autorização. A falha foi classificada como CWE-288, categoria que abrange situações em que a autenticação é contornada por um caminho ou canal alternativo.
O vetor de risco considera um ataque realizado pela rede, com baixa complexidade, sem necessidade de privilégios prévios ou interação de uma vítima. Na prática, essas características tornam importante identificar rapidamente se alguma instalação está usando uma versão vulnerável e aplicar a atualização correspondente.
A Fortinet informou que, até a publicação do aviso, não havia conhecimento de exploração da falha em ataques reais. Isso não significa, porém, que os sistemas expostos estejam protegidos: a ausência de exploração confirmada não elimina a possibilidade de tentativas futuras, nem reduz a importância de corrigir o software.
Versões afetadas e correções
No FortiSandbox convencional, as versões de 5.0.0 a 5.0.6 devem ser atualizadas para a 5.0.7 ou posterior. Já instalações das versões 4.4.0 a 4.4.9 precisam migrar para a 4.4.10 ou uma edição mais recente. A linha 5.2 não foi afetada.
Para o FortiSandbox PaaS, o intervalo vulnerável da série 5.0 também vai da versão 5.0.0 à 5.0.6, com correção disponível na 5.0.7 ou posterior. Todas as versões PaaS 4.4 são afetadas; a recomendação é migrar para uma versão corrigida. A edição PaaS 5.2 não foi incluída entre as vulneráveis. O aviso não apresenta uma opção de patch virtual.
A descoberta foi atribuída a Adham El Karn, da equipe de Segurança de Produto da Fortinet. A empresa também reconheceu Jason McFadyen, da TrendAI Research, pela divulgação responsável da vulnerabilidade.
Como reduzir o risco
O primeiro passo é conferir a versão exata em execução, considerando tanto o produto quanto o modelo de implantação. Não basta saber que a organização utiliza FortiSandbox: é necessário comparar o número instalado com os intervalos indicados no comunicado e confirmar qual atualização se aplica a cada ambiente.
Depois de identificar uma versão vulnerável, a prioridade deve ser planejar e instalar a edição corrigida. Em ambientes de produção, a mudança deve seguir os procedimentos internos de teste e manutenção, sem deixar a correção indefinidamente pendente. Se a atualização precisar aguardar uma janela técnica, é importante registrar a exposição e definir um prazo para concluir a intervenção.
Como a falha envolve a interface gráfica, as equipes também devem revisar quem pode alcançá-la pela rede. Restringir o acesso administrativo a redes confiáveis e evitar a exposição desnecessária de interfaces de gerenciamento são medidas prudentes de redução de risco, embora não substituam a atualização do software.
Após aplicar a correção, recomenda-se validar a versão instalada e verificar registros de acesso e atividade administrativa referentes ao período anterior à atualização. Essa análise pode ajudar a identificar comportamentos incomuns, mas o aviso não descreve indicadores específicos de comprometimento nem fornece uma sequência de exploração que permita orientar buscas direcionadas.
A Fortinet não publicou no comunicado caminhos de requisição, exemplos de payload ou uma cadeia técnica detalhada. Por isso, não é adequado presumir que a exploração siga o mesmo método de falhas antigas do FortiSandbox. Vulnerabilidades anteriores de bypass de autenticação podem envolver componentes e mecanismos diferentes.
Também houve, em outro momento, uma vulnerabilidade de exposição de dados sensíveis na interface web do FortiSandbox. As correções daquele problema não devem ser consideradas proteção contra a CVE-2026-107656. Administradores precisam verificar separadamente o aviso atual e confirmar se a versão utilizada está entre as corrigidas para esta falha específica.