事件概述
2026年7月16日，美国网络安全与基础设施安全局（CISA）将两个Fortinet FortiSandbox漏洞纳入Known Exploited Vulnerabilities（KEV）目录。这两个漏洞均为操作系统命令注入类型，允许未认证攻击者通过构造HTTP请求在目标系统上执行未授权代码或命令。根据CISA BOD 26-04指令，联邦民用机构须在2026年7月19日前应用厂商补丁或采取缓解措施。
漏洞详情
CVE-2026-39808
| 影响产品 | Fortinet FortiSandbox |
| 漏洞类型 | OS命令注入 |
| 利用条件 | 无需认证，网络可达 |
| 攻击向量 | 构造恶意HTTP请求 |
| CISA入录日期 | 2026年7月16日 |
| 修复期限 | 2026年7月19日 |
CVE-2026-25089
| 影响产品 | Fortinet FortiSandbox、FortiSandbox Cloud、FortiSandbox PaaS |
| 漏洞类型 | OS命令注入 |
| 利用条件 | 无需认证，网络可达 |
| 攻击向量 | 构造恶意HTTP请求 |
| CISA入录日期 | 2026年7月16日 |
| 修复期限 | 2026年7月19日 |
技术原理
FortiSandbox是Fortinet推出的高级威胁检测与沙箱分析平台，用于在隔离环境中执行可疑文件并分析其行为。漏洞存在于Web管理接口或API端点中，用户输入未经过充分过滤即被拼接至底层操作系统命令中。
攻击者可通过向设备的HTTP服务发送精心构造的请求，注入额外的shell元字符（如分号、反引号、管道符等），使设备执行攻击者指定的任意系统命令。由于漏洞在未认证条件下即可触发，暴露于公网的FortiSandbox实例面临极高风险。
影响评估
FortiSandbox广泛部署于企业安全运营中心（SOC）和数据中心，作为边界威胁检测的最后一道防线。成功利用该漏洞的攻击者可：
- 在沙箱设备上获得root/system级别命令执行权限
- 篡改沙箱分析结果，使恶意文件被标记为”清洁”
- 以沙箱为跳板，横向渗透至内网其他安全设备和管理网络
- 提取沙箱中历史提交的敏感文件样本
CISA BOD 26-04指令要求联邦机构优先评估资产的互联网暴露面，并确保在截止日期前完成补丁部署。对于云服务实例，需遵循相应云环境的补丁指南；若缓解措施不可用，则应考虑停用该产品。
修复建议
官方补丁
Fortinet已通过FortiGuard PSIRT发布安全公告和补丁：
- FG-IR-26-100（CVE-2026-39808）
- FG-IR-26-141（CVE-2026-25089）
管理员应登录Fortinet支持门户下载对应FortiSandbox版本的固件更新。
临时缓解措施
- 限制FortiSandbox管理接口的网络访问，仅允许可信管理网段连接
- 在边界防火墙阻断对FortiSandbox Web端口的非授权入站流量
- 启用FortiSandbox的日志审计功能，监控异常HTTP请求模式
- 对暴露于公网的实例进行紧急网络隔离，直至补丁完成
检测规则
安全团队可通过以下方式增强检测能力：
- 在网络层监控对FortiSandbox设备的异常HTTP请求（含shell元字符的URI或参数）
- 在主机层监控FortiSandbox操作系统上的非预期进程生成
- 在SIEM中关联FortiSandbox日志与网络流量告警