Atacantes exploram três falhas críticas no Fortinet FortiSandbox — uma corrigida na semana passada

Atacantes estão explorando ativamente três vulnerabilidades críticas no Fortinet FortiSandbox — CVE-2026-39813, CVE-2026-39808 e CVE-2026-25089, todas com CVSS 9.1 — incluindo uma corrigida apenas na semana passada. A telemetria da Defused Cyber registrou tentativas de exploração nas últimas 24 horas e indica que pelo menos um dos exploits foi escrito com auxílio de modelo de IA generativa, sinal de uma tendência crescente no ecossistema ofensivo.

O que aconteceu

A firma de threat intelligence Defused Cyber publicou em sua conta no X um alerta indicando que três falhas no FortiSandbox — appliance de análise dinâmica de malware amplamente utilizado em redes corporativas e governamentais — estão sob exploração ativa. Duas delas (CVE-2026-39813 e CVE-2026-39808) já haviam sido corrigidas em abril de 2026, enquanto a terceira (CVE-2026-25089) recebeu patch oficial da Fortinet apenas na última semana, deixando uma janela crítica de exposição para organizações que ainda não aplicaram a atualização.

O FortiSandbox é peça central em arquiteturas de defesa em profundidade, recebendo amostras suspeitas dos firewalls FortiGate, gateways de e-mail e plataformas EDR para detonação em ambiente isolado. Comprometer esse appliance significa não apenas neutralizar uma camada inteira de detecção, mas potencialmente obter visibilidade sobre todos os artefatos que a organização considerou suspeitos — uma rica fonte de inteligência para o atacante.

O caso ganha relevância adicional porque a Fortinet, nos últimos dois anos, virou alvo recorrente de campanhas contra appliances de borda. Em abril de 2026, a empresa já havia lançado patches out-of-band para uma falha crítica no FortiClient EMS (CVE-2026-35616, CVSS 9.1) que estava sendo explorada na natureza.

Detalhes técnicos das vulnerabilidades

A CVE-2026-39813 é uma falha de path traversal na JRPC API do FortiSandbox. Um atacante remoto e não autenticado pode bypassar a autenticação enviando requisições HTTP especialmente construídas. Quando combinada com uma vulnerabilidade de execução de comandos, torna-se vetor ideal para chain de exploração — o adversário primeiro obtém acesso autenticado-equivalente e em seguida promove escalada para RCE.

A CVE-2026-39808 e a CVE-2026-25089 são casos clássicos de OS command injection, ambos permitindo a um atacante não autenticado executar comandos arbitrários no sistema operacional subjacente via requisições HTTP manipuladas. A diferença é que a CVE-2026-25089 também afeta o FortiSandbox Cloud e o FortiSandbox PaaS WEB UI, ampliando significativamente a superfície de exposição para clientes em deploy híbrido.

“O exploit para a CVE-2026-25089 mostra sinais de ter sido desenvolvido com auxílio de um modelo de IA, mas também apresenta falhas. Um exploit funcional para a vulnerabilidade ainda não foi divulgado publicamente.” — Defused Cyber

Quem é afetado

Organizações expostas pertencem a três grupos:

• Clientes on-premises: appliances FortiSandbox físicos e virtuais que não receberam os patches de abril e junho de 2026.
• Clientes cloud: assinantes do FortiSandbox Cloud expostos especificamente pela CVE-2026-25089.
• Clientes PaaS: deployments via FortiSandbox PaaS WEB UI, mesmo cenário da Cloud.

Setores típicos com presença massiva de FortiSandbox incluem governo, infraestrutura crítica, telecomunicações e instituições financeiras. No Brasil, é comum encontrar a solução em órgãos federais e estaduais, bem como em grandes integradores e MSSPs que prestam serviços para o setor público.

Análise

O padrão de exploração contra appliances de segurança consolida-se como uma das tendências mais importantes do biênio 2025-2026. Fortinet, Ivanti, Palo Alto Networks, Citrix e Cisco têm acumulado falhas críticas em produtos de borda — justamente os dispositivos que deveriam ser a primeira linha de defesa contra o adversário. Quando o sandbox responsável por analisar malware vira ele próprio o vetor de comprometimento, há uma inversão clássica de modelo de ameaça: o controle de segurança torna-se a porta de entrada.

Outro elemento crucial é a menção da Defused Cyber a um exploit aparentemente gerado por modelo de IA. Isso não é mais novidade — em 2025, pesquisadores documentaram campanhas em que adversários usavam LLMs para acelerar prototipagem de exploits e gerar variantes de payloads. O fato de o código ser “faulty” reforça que, hoje, a IA reduz o custo de entrada mas ainda não substitui o exploit developer experiente. O ritmo, porém, está mudando: a janela entre disclosure e exploração ativa caiu de semanas para dias, e agora, no caso da CVE-2026-25089, para menos de uma semana.

Comparativamente, vale lembrar o caso Ivanti Connect Secure no início de 2024, em que múltiplas falhas em appliances VPN viraram porta de entrada para campanhas estatais. O playbook é o mesmo: vulnerabilidade pré-autenticação em produto de segurança exposto à internet, combinada com explorations em cadeia para persistência. As equipes de defesa precisam tratar appliances Fortinet como ativos de altíssima criticidade — não como infraestrutura “set and forget”.

Recomendações práticas

• Aplique imediatamente os patches da Fortinet para CVE-2026-39813, CVE-2026-39808 e CVE-2026-25089 em todos os FortiSandbox on-premises e verifique status dos clientes Cloud/PaaS junto ao fornecedor.
• Restrinja exposição: a JRPC API e a interface WEB UI do FortiSandbox não devem estar acessíveis pela internet pública. Coloque atrás de VPN ou ZTNA com autenticação forte.
• Monitore requisições HTTP anômalas aos endpoints do FortiSandbox, com atenção especial a path traversal (sequências como “../”) e tentativas de injeção de comandos.
• Caça de IOCs: revise logs do appliance dos últimos 30 dias buscando autenticações anômalas, jobs de análise não originados por integrações conhecidas e execução de binários incomuns.
• Segmentação: trate o FortiSandbox como ativo crítico — segregue em VLAN separada e restrinja conexões de saída apenas ao necessário (atualizações, integração com SIEM/SOAR).
• Plano de resposta: se houver indício de comprometimento, isole o appliance, preserve volumes para forense e considere reset de credenciais usadas pela integração com FortiGate e FortiManager.

Fonte: The Hacker News