- Aktif istismar
- Yama var
- CWE-78
CVE-2026-39808
Fortinet FortiSandbox'ta işletim sistemi komut enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 197 gün
- Kaydı açan
- fortinet
Yönetici özeti
Güvenlik analizlerinde kullanılan FortiSandbox ürünündeki bu açık, saldırganların cihazı uzaktan ele geçirmesine olanak tanıyor ve şu anda gerçek saldırılarda kullanılıyor. Güvenlik altyapısının ele geçirilmesi kurumun diğer sistemleri için de risk oluşturur. Güncellemenin gecikmeden uygulanması gerekir.
ÖzetTürkçe
Fortinet FortiSandbox 4.4.0 ile 4.4.8 sürümleri arasında, işletim sistemi komutlarında kullanılan özel karakterlerin yetersiz temizlenmesinden kaynaklanan bir komut enjeksiyonu açığı (CWE-78) bulunmaktadır. Açık, FortiSandbox PaaS'ın listelenen bazı sürümlerini de etkilemektedir. CVSS puanı 9,1 (kritik) olup saldırı ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi olmadan gerçekleştirilebilir. Açık CISA KEV listesine eklenmiştir ve aktif olarak istismar edildiği bilinmektedir; ayrıca herkese açık bir istismar kodu da mevcuttur.
Saldırgan ne yapabilir?
Saldırgan, etkilenen cihaz üzerinde yetkisiz kod veya komut çalıştırarak sistemin gizlilik, bütünlük ve erişilebilirliğini tamamen tehlikeye atabilir.
Kaynaktaki açıklama (İngilizce)
A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiSandbox 4.4.0 through 4.4.8 may allow attacker to execute unauthorized code or commands via <insert attack vector here>
Üreticinin çözüm notu (İngilizce)
Upgrade to FortiSandbox version 4.4.9 or above
Upgrade to FortiSandbox PaaS version 5.0.2 or above
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- FortiSandbox 4.4.0–4.4.8 sürümlerini kullanıyorsanız 4.4.9 veya üzeri bir sürüme yükseltin. Üretici
- FortiSandbox PaaS kullanıyorsanız 5.0.2 veya üzeri bir sürüme yükseltin. Üretici
- Her varlığın internete açıklık durumunu değerlendirin; üretici talimatlarına uygun olarak azaltım önlemlerini uygulayın ve CISA'nın BOD 26-04 ile adli bilişim triyaj gereksinimlerine uyun. CISA
- Azaltım önlemleri uygulanamıyorsa ürünün kullanımını durdurun. CISA
Ek önlemler
- FortiSandbox yönetim arayüzüne erişimi internetten kaldırın; yalnızca güvenilir yönetim ağlarından erişime izin verin. Genel öneri
- Açığın aktif olarak istismar edildiğini göz önünde bulundurarak cihazda olağan dışı komut çalıştırma, yeni hesap veya beklenmeyen giden bağlantı izlerini inceleyin. Genel öneri
- Güncelleme öncesinde ele geçirilme şüphesi varsa cihazdaki kimlik bilgilerini ve anahtarları yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Fortinet FortiSandbox | ≥ 4.4.0, ≤ 4.4.8 | – |
| Fortinet FortiSandbox PaaS | 23.4.4374 | – |
| 23.4.4350 | – | |
| 23.3.4329 | – | |
| 23.1.4245 | – | |
| 22.2.4151 | – | |
| 22.2.4134 | – | |
| 22.1.4113 | – | |
| 21.4.4072 | – | |
| 21.3.4055 | – |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/samu-delucas/CVE-2026-39808 İstismar kodu ya da analiz
- fortiguard.fortinet.com/psirt/FG-IR-26-100 Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.