行業新聞與部落格

美國網路安全和基礎設施安全域性 (CISA) 發出警告，影響 Fortinet 惡意軟體分析和檢測工具 FortiSandbox 的兩個漏洞已被實際利用。

這兩個漏洞分別被追蹤為 CVE-2026-39808 和 CVE-2026-25089，均為嚴重漏洞，嚴重性評級 (CVSS) 均為 9.1 。

CISA 於 7 月 16 日將這兩個漏洞新增到其已知利用漏洞 (KEV) 目錄中，這表明有證據表明這些漏洞已在實際環境中被利用。

該機構敦促聯邦政府在 7月19日前推出補丁程式。

ForitSandbox 漏洞可能導致執行惡意命令

CVE-2026-39808 由 KPMG 西班牙的安全研究員 Samuel de Lucas Maroto 發現，並於 4 月 14 日由 Fortinet 披露。

這是一個影響 Fortinet FortiSandbox 版本 4.4.0 至 4.4.8 的作業系統 (OS) 命令注入漏洞。

當被利用時，它允許攻擊者透過 .

Fortinet 已在 FortiSandbox 版本 4.4.9 中釋出了補丁。

第二個漏洞 CVE-2026-25089 最初由 Fortinet 產品安全團隊的安全研究員 Adham El Karn 發現，並於 6 月 9 日由這家網路安全公司披露。

這是一個作業系統命令注入漏洞，影響 Fortinet 的 FortiSandbox 版本 5.0.0 至 5.0.5 、 4.4.0 至 4.4.8 和所有 4.2 版本，FortiSandbox Cloud 版本 5.0.4 至 5.0.5 和 FortiSandbox PaaS 版本 5.0.4 至 5.0.5 。

當被利用時，未經身份驗證的攻擊者可以透過精心構造的 HTTP 請求執行未經授權的命令。

Fortinet 已在 FortiSandbox 版本 4.4.9 和 5.0.6 中釋出了補丁。

CISA 要求美國聯邦機構應用 Fortinet 釋出的緩解措施和補丁。

對於基於雲的服務，如果無法採取緩解措施，機構應停止使用該產品。

CISA 尚未確認這些漏洞是否已被用於勒索軟體攻擊活動。