FortiSandboxのパストラバーサルの脆弱性CVE-2026-39813
CNAのFortinetが2026年4月14日に公開したCVEレコードによると、FortiSandboxのパストラバーサルの脆弱性CVE-2026-39813は、細工したHTTPリクエストにより攻撃者に権限の昇格を許しうる［4］。観測主体のPrevidianは、センサーがこの脆弱性を狙う試行を60回観測したと記載し、CISAのKEVには載っていないとした［13］。
脆弱性の内容
Help Net Securityの4月16日の記事では、FortiSandboxは疑わしいファイルやURLを隔離した環境で実行し、判定を返す製品である［17］。ほかのFortinet製品は、その判定をもとにブロックや警告を行う［17］。CVE-2026-39813の報告者は、FortinetのPSIRTのメンバーだった［17］。
シンガポールのサイバーセキュリティ庁（CSA）と、Center for Internet Security（CIS）のMS-ISACは、この脆弱性がFortiSandboxのJRPC APIにあると説明した［10、11］。未認証の攻撃者が、細工したHTTPリクエストで認証を回避しうる［10、11］。MS-ISACのリスクの評価は、大・中規模の政府機関と企業でHIGH、小規模の政府機関と企業でMEDIUMだった［11］。
| 項目 | 値 | 資料 |
|---|---|---|
| アドバイザリ | FG-IR-26-112 | ［4］ |
| CWE | CWE-24（Path traversal: '../filedir'） | ［4］ |
| CVSS v3.1（Fortinet） | 9.1（CRITICAL）〔注1〕 | ［4］ |
| CVSSのベクター | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C | ［4］ |
| CISAのSSVC | Exploitation none、Automatable yes、Technical Impact total | ［4］ |
同時に公表されたほかの脆弱性
SecurityWeekの記事では、Fortinetが製品全体で出したアドバイザリは26件で、27件の脆弱性を扱っていた［14］。その中にFortiSandboxのクリティカルな脆弱性2件が含まれる［14］。
Security NEXTは、FortinetがFortiSandboxに関するセキュリティアドバイザリを6件公開し、FortiSandbox PaaSも一部影響を受けると報じた［15］。
| CVE | 概要 | アドバイザリ | CVSS | 資料 |
|---|---|---|---|---|
| CVE-2026-39808 | FortiSandbox 4.4.0〜4.4.8のOSコマンドインジェクション（CWE-78）で、権限の無いコードやコマンドの実行に至りうる | FG-IR-26-100 | 9.1 | ［5］ |
| CVE-2026-39812 | FortiSandbox 5.0.0〜5.0.5、4.4.0〜4.4.8、4.2の全版と、FortiSandbox PaaSの同じ範囲のクロスサイトスクリプティング | FG-IR-26-110 | 4.3 | ［6］ |
| CVE-2026-25691 | super-adminの権限とCLIへのアクセスを持つ攻撃者が任意のディレクトリを削除しうるパストラバーサル | FG-IR-26-115 | 6.2 | ［7］ |
| CVE-2025-61886 | FortiSandbox 5.0.0〜5.0.4とFortiSandbox PaaS 5.0.0〜5.0.4のクロスサイトスクリプティング | FG-IR-26-109 | 4.9 | ［8］ |
| CVE-2026-27316 | LDAP設定画面で認証情報が漏洩する | - | - | ［16］ |
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Fortinet | FortiSandbox 5.0.6の初版を公開した | ［3］ |
| 2026年 | Fortinet | アドバイザリFG-IR-26-112を公表し、CVE-2026-39813のCVEレコードを公開した | ［1、4］ |
| 2026年 | CSA | CVE-2026-39808とCVE-2026-39813の修正を伝えるアラートを出した | ［10］ |
| 2026年 | - | 概念実証（PoC）のコードが公開された | ［13］ |
| 2026年 | JPCERT/CC | Weekly ReportでFG-IR-26-112を情報源に挙げた | ［12］ |
| 2026年 | Previdian | センサーが12時48分（UTC）にCVE-2026-39813を狙う試行を初めて観測した | ［13］ |
| 2026年 | Defused、KEVIntel | CVE-2026-39813を狙う攻撃を報告した | ［20］ |
| 2026年 | CISA | CVE-2026-39808をKEVに追加した | ［5］ |
| 2026年 | Previdian | センサーが最後に試行を観測した | ［13］ |
対象の製品と版
悪用の状況
SecurityWeekは4月15日の記事で、Fortinetがこれらの脆弱性の悪用に触れていないと報じた［14］。
The Hacker Newsの6月16日の記事では、DefusedがXに、過去24時間にCVE-2026-39813、CVE-2026-39808、CVE-2026-25089の悪用を観測したと投稿していた［19］。
Help Net Securityは、攻撃の詳細は公開されておらず、Fortinetはまだ悪用を確認していないと報じた［18］。
SecurityWeekの6月17日の記事では、Defusedのハニーポットが、CVE-2026-39808、CVE-2026-39813、CVE-2026-25089を狙う試行を観測していた［20］。
Previdianは、センサーの観測は試行の記録で、対象が脆弱だったことや試行が成功したことを意味しないと説明した［13］。センサーが観測した攻撃元のIPアドレスは2件、国は1か国で、確度は「Confirmed」だった［13］。
修正と回避策
CSAは、影響を受ける製品の利用者と管理者に、直ちに最新版へ更新するよう促した［10］。JPCERT/CCのWeekly Reportでは、修正済みのバージョンに更新すればこの問題は解決する［12］。
CVE-2026-39808のCVEレコードでは、対策はFortiSandbox 4.4.9以上とFortiSandbox PaaS 5.0.2以上への更新である［5］。CVE-2026-25691では、FortinetがFortiSandbox Cloudの5.0.5でこの問題を修正したため、利用者は対応を要しない［7］。
Security NEXTは、4.4ブランチにはCVE-2026-27316の修正が含まれず、5.0ブランチ以降への更新が必要とされると報じた［16］。
未公表の事項
- JRPC APIの処理の具体的な欠陥
- CVE-2026-39813による侵害を受けた組織と台数
- 試行を行った攻撃者の帰属
- FortiSandbox CloudとFortiSandbox PaaSへのCVE-2026-39813の影響
注
出典
当事者
- ［1］Fortinet, Inc.『CVE-2026-39813 - PSIRT（FG-IR-26-112）』（2026年4月14日公開、保存記録のみ） 保存記録
- ［2］Fortinet, Inc.『FortiSandbox 5.0.6 Release Notes - Resolved issues』（2026年3月24日公開、2026年9月8日更新）
- ［3］Fortinet, Inc.『FortiSandbox 5.0.6 Release Notes - Change Log』（2026年3月24日公開、2026年9月8日更新）
公的機関
- ［4］CVE Program『CVE-2026-39813』（2026年4月14日公開、2026年11月6日更新）
- ［5］CVE Program『CVE-2026-39808』（2026年4月14日公開、2026年7月17日更新）
- ［6］CVE Program『CVE-2026-39812』（2026年4月14日公開）
- ［7］CVE Program『CVE-2026-25691』（2026年4月14日公開）
- ［8］CVE Program『CVE-2025-61886』（2026年4月14日公開）
- ［9］National Institute of Standards and Technology『CVE-2026-39813』（2026年4月14日公開、2026年11月6日更新）
- ［10］Cyber Security Agency of Singapore『Critical Vulnerabilities in Fortinet Product』（2026年4月16日公開）
- ［11］Center for Internet Security『Multiple Vulnerabilities in Fortinet Products Could Allow for Arbitrary Code Execution』（2026年4月14日公開）
- ［12］一般社団法人JPCERTコーディネーションセンター『Weekly Report 2026-04-22号 【7】複数のFortinet製品に脆弱性』（2026年4月22日公開）
調査・観測
- ［13］Previdian Cyber Ltd.『CVE-2026-39813 Exploitation Attempts Observed — FortiSandbox』（2026年4月14日公開、2026年11月6日更新）
報道機関
- ［14］Wired Business Media『Fortinet Patches Critical FortiSandbox Vulnerabilities』（2026年4月15日公開）
- ［15］株式会社ニュースガイア『「FortiSandbox」に複数の「クリティカル」脆弱性 - アップデートを（1ページ目）』（2026年4月15日公開）
- ［16］株式会社ニュースガイア『「FortiSandbox」に複数の「クリティカル」脆弱性 - アップデートを（2ページ目）』（2026年4月15日公開）
- ［17］Help Net Security『Fortinet fixes critical FortiSandbox vulnerabilities (CVE-2026-39813, CVE-2026-39808)』（2026年4月16日公開）
- ［18］Help Net Security『Attackers are exploiting FortiSandbox vulnerabilities』（2026年6月16日公開）
- ［19］The Hacker News『Attackers Exploit Three Fortinet FortiSandbox Flaws, One Patched Last Week』（2026年6月16日公開）
- ［20］Wired Business Media『3 Recently Patched Fortinet FortiSandbox Vulnerabilities in Hacker Crosshairs』（2026年6月17日公開）
更新記録
- 2026年4月18日：公開した。
- 2026年4月22日：JPCERT/CCのWeekly Report（出典12）を加え、「時系列」と「修正と回避策」を改めた。
- 2026年5月7日：FortinetがFortiSandbox 5.0.6のリリースノートの解消済みの問題を改訂した版（出典2、3）を加え、「対象の製品と版」の注を改めた。
- 2026年6月16日：Help Net Securityの記事（出典18）とThe Hacker Newsの記事（出典19）を加え、Defusedの投稿と攻撃の詳細を「悪用の状況」に加えた。
- 2026年6月17日：SecurityWeekの記事（出典20）を加え、DefusedとKEVIntelの報告を「時系列」に、Defusedのハニーポットの観測を「悪用の状況」に加えた。
- 2026年7月17日：CVE-2026-39808のCVEレコードの改訂（出典5）で加わったCISAのKEVへの追加を「時系列」に加えた。
- 2026年9月8日：FortinetがFortiSandbox 5.0.6のリリースノートの解消済みの問題を再び改訂した版（出典2、3）で、「対象の製品と版」の注を改めた。
- 2026年11月6日：CVE-2026-39813のCVEレコードとNVDのレコードの改訂（出典4、9）と、Previdianのページの更新（出典13）を加え、試行の回数と攻撃元の数をリードと「悪用の状況」に、最後の観測の日を「時系列」に反映した。