行业新闻与博客

美国网络安全和基础设施安全局 (CISA) 发出警告，影响 Fortinet 恶意软件分析和检测工具 FortiSandbox 的两个漏洞已被实际利用。

这两个漏洞分别被追踪为 CVE-2026-39808 和 CVE-2026-25089，均为严重漏洞，严重性评级 (CVSS) 均为 9.1 。

CISA 于 7 月 16 日将这两个漏洞添加到其已知利用漏洞 (KEV) 目录中，这表明有证据表明这些漏洞已在实际环境中被利用。

该机构敦促联邦政府在 7月19日前推出补丁程序。

ForitSandbox 漏洞可能导致执行恶意命令

CVE-2026-39808 由 KPMG 西班牙的安全研究员 Samuel de Lucas Maroto 发现，并于 4 月 14 日由 Fortinet 披露。

这是一个影响 Fortinet FortiSandbox 版本 4.4.0 至 4.4.8 的操作系统 (OS) 命令注入漏洞。

当被利用时，它允许攻击者通过 .

Fortinet 已在 FortiSandbox 版本 4.4.9 中发布了补丁。

第二个漏洞 CVE-2026-25089 最初由 Fortinet 产品安全团队的安全研究员 Adham El Karn 发现，并于 6 月 9 日由这家网络安全公司披露。

这是一个操作系统命令注入漏洞，影响 Fortinet 的 FortiSandbox 版本 5.0.0 至 5.0.5 、 4.4.0 至 4.4.8 和所有 4.2 版本，FortiSandbox Cloud 版本 5.0.4 至 5.0.5 和 FortiSandbox PaaS 版本 5.0.4 至 5.0.5 。

当被利用时，未经身份验证的攻击者可以通过精心构造的 HTTP 请求执行未经授权的命令。

Fortinet 已在 FortiSandbox 版本 4.4.9 和 5.0.6 中发布了补丁。

CISA 要求美国联邦机构应用 Fortinet 发布的缓解措施和补丁。

对于基于云的服务，如果无法采取缓解措施，机构应停止使用该产品。

CISA 尚未确认这些漏洞是否已被用于勒索软件攻击活动。