FortiSandbox tem falha crítica que permite contornar autenticação
A Fortinet informou a existência de uma vulnerabilidade crítica na interface gráfica do FortiSandbox. Identificada como CVE-2026-107656, a falha pode permitir que um invasor remoto acesse recursos protegidos sem apresentar credenciais válidas. O problema recebeu nota 9,6 na escala CVSSv3 e afeta determinadas versões do appliance FortiSandbox e do serviço FortiSandbox PaaS.
O alerta de segurança FG-IR-26-185, publicado em 13 de outubro de 2026, classifica a vulnerabilidade como CWE-288: contorno de autenticação por meio de um caminho ou canal alternativo. Segundo a avaliação da Fortinet, a exploração pode resultar na execução de código ou de comandos não autorizados.
O vetor de risco indica que o ataque pode ser realizado pela rede, com baixa complexidade, sem privilégios prévios e sem que a vítima precise interagir com o sistema. A falha está na interface gráfica, e um atacante poderia enviar requisições HTTP manipuladas para tentar ultrapassar os mecanismos de autenticação.
A empresa informa que não há exploração conhecida da vulnerabilidade no momento da divulgação. Isso significa que o aviso não confirma ataques reais usando a CVE-2026-107656, mas não elimina a necessidade de corrigir sistemas vulneráveis. A gravidade do problema e a possibilidade de acesso remoto tornam importante verificar as versões instaladas e aplicar as atualizações indicadas.
Versões afetadas e correções
No FortiSandbox convencional, as versões de 5.0.0 a 5.0.6 são vulneráveis. A correção está disponível a partir da versão 5.0.7. Também devem ser atualizadas as instalações da série 4.4, entre 4.4.0 e 4.4.9, para a versão 4.4.10 ou mais recente.
O FortiSandbox 5.2 não é afetado, de acordo com o comunicado. Já no FortiSandbox PaaS, as versões de 5.0.0 a 5.0.6 devem ser atualizadas para 5.0.7 ou posterior. Todas as versões PaaS da série 4.4 são consideradas vulneráveis; a orientação é migrar para uma versão corrigida. O PaaS 5.2 também não está entre as versões afetadas.
A Fortinet não listou uma correção temporária, ou patch virtual, para esse problema. Por isso, organizações que utilizam versões vulneráveis devem priorizar a atualização para uma versão corrigida, seguindo os procedimentos de manutenção aplicáveis ao produto ou serviço contratado.
Como reduzir o risco
O primeiro passo é confirmar qual produto está em uso – FortiSandbox ou FortiSandbox PaaS – e identificar sua versão exata. Essa checagem evita aplicar uma orientação destinada a outra edição ou ramo do produto. Administradores também devem comparar o número encontrado com as faixas afetadas e versões corrigidas descritas no aviso de segurança.
Antes de atualizar, é recomendável planejar a mudança de acordo com os processos internos: avaliar compatibilidade, definir uma janela de manutenção e verificar os procedimentos de backup e recuperação. Após a instalação da versão corrigida, a equipe deve confirmar que a atualização foi concluída e que a plataforma voltou a operar normalmente.
Como a falha envolve a interface gráfica, as organizações podem revisar quais redes e usuários têm acesso administrativo ao FortiSandbox. Restringir a administração a redes confiáveis e limitar o acesso ao menor número possível de endereços e contas são medidas prudentes de proteção. Elas não substituem a atualização, mas ajudam a reduzir a exposição enquanto a correção é planejada ou aplicada.
Também é importante acompanhar os registros de acesso e de atividade do produto, procurando comportamentos incomuns, como tentativas de autenticação inesperadas ou ações administrativas não reconhecidas. O alerta não fornece caminhos de requisição, payloads ou uma cadeia detalhada de exploração; portanto, não há base para presumir um padrão específico de ataque nem para associar esta falha a métodos usados em vulnerabilidades anteriores.
A Fortinet atribuiu a descoberta a Adham El Karn, integrante de sua equipe de Segurança de Produto, e reconheceu Jason McFadyen, da TrendAI Research, pela divulgação responsável. A empresa também ressalta que uma vulnerabilidade anterior de exposição de dados sensíveis no FortiSandbox, relacionada à interface web, é um problema separado. As correções daquela falha não devem ser consideradas proteção contra a CVE-2026-107656.
Em resumo, administradores devem verificar a edição e a versão do FortiSandbox em operação e atualizar as instalações afetadas para as versões corrigidas. Mesmo sem exploração confirmada, a combinação de acesso remoto, ausência de autenticação e potencial para execução de comandos torna a correção uma prioridade para os ambientes que ainda utilizam versões vulneráveis.