CVE-2026-26083: Falta de Autorização no Fortinet FortiSandbox
A CVE-2026-26083 é uma falha de falta de autorização (CWE-862) em diversas linhas do Fortinet FortiSandbox, FortiSandbox Cloud e FortiSandbox PaaS, que, segundo a descrição, pode permitir que um atacante remoto e não autenticado execute código ou comandos não autorizados por HTTP. O registro traz pontuação base de 9,8 da PSIRT da Fortinet, uma segunda pontuação de 9,1 e nenhuma correção indicada, e não há exploração confirmada nas fontes consultadas. Administradores devem verificar o aviso do fabricante e priorizar a atualização ou a restrição de acesso às interfaces afetadas.
Visão geral
A CVE-2026-26083 é uma vulnerabilidade de falta de autorização (CWE-862) reportada em diversas linhas de versão do Fortinet FortiSandbox, FortiSandbox Cloud e FortiSandbox PaaS. Segundo a descrição, um atacante não autenticado pode alcançar funcionalidades que deveriam ser protegidas e executar código ou comandos não autorizados por meio de requisições HTTP. A referência do fabricante é o aviso PSIRT da Fortinet FG-IR-26-136.
Impacto
- A descrição indica que um atacante remoto e não autenticado pode executar código ou comandos não autorizados.
- As pontuações associadas ao registro situam a falha na faixa crítica: 9,8 pela PSIRT da Fortinet e 9,1 por um segundo provedor identificado como fortinet.
- Os dados SSVC do registro classificam o impacto técnico como total e a falha como automatizável, o que indica potencial de dano severo caso ela seja abusada.
Produtos e versões afetadas
- FortiSandbox: a descrição cobre 5.0.0 até 5.0.1 e 4.4.0 até 4.4.8. Os dados estruturados também expressam intervalos terminando antes de 5.0.2 e antes de 4.4.9, e listam 4.2.1 até 4.2.8, que a narrativa não menciona.
- FortiSandbox Cloud: a descrição cobre 5.0.2 até 5.0.5. Os dados estruturados também listam 5.0.0 até 5.0.1, 4.4.5 até 4.4.8, um intervalo terminando antes de 5.0.6, a build 24.1.4436 e um intervalo de 23.1.4245 a 23.4.4374.
- FortiSandbox PaaS: a descrição lista as linhas 23.4, 23.3, 23.1, 22.2, 22.1, 21.4 e 21.3 como todas as versões, além de 5.0.0 até 5.0.1 e 4.4.5 até 4.4.8. Os dados estruturados incluem ainda um intervalo de 21.3.4055 a 23.4.4374 e um intervalo terminando antes de 4.4.9.
- O registro não contém entradas de correção, por isso a build exata com correção para cada linha de produto deve ser confirmada no aviso do fabricante.
Status de exploração
- A entrada do catálogo CISA KEV no registro está marcada como não listada, portanto esta análise não afirma que a falha é explorada ativamente.
- Não há exploração confirmada nas fontes consultadas.
- O campo de exploração SSVC está como none. A probabilidade EPSS registrada é 0,00498, com percentil de 0,41824.
Correção e mitigação
- Revise o aviso do fabricante FG-IR-26-136 e levante quais builds do FortiSandbox, FortiSandbox Cloud ou PaaS estão em uso.
- Aplique a versão corrigida recomendada pela Fortinet para cada linha de produto afetada. Em serviços de nuvem ou PaaS, siga as orientações de manutenção do provedor.
- Até que a correção esteja concluída, limite quem pode acessar as interfaces administrativas e web, mantenha-as em segmentos de rede confiáveis atrás de controles de acesso e evite exposição direta à internet.
- Após a atualização, confirme que a versão em execução corresponde à build corrigida indicada pelo fabricante.
Orientações de detecção
- Revise os logs de acesso HTTP em busca de requisições às interfaces de gerenciamento ou web vindas de origens inesperadas, volume incomum ou requisições bem-sucedidas sem sessão válida.
- Procure alterações de configuração inesperadas, novas contas administrativas ou processos desconhecidos no equipamento.
- Correlacione os logs do equipamento com a telemetria de rede e gere alertas para acessos vindos de fora das redes de gerenciamento aprovadas.
Limitações das informações disponíveis
- O registro não tem título, lista de versões corrigidas nem entradas de correção.
- Os dados estruturados de afetação contêm intervalos sobrepostos e parcialmente inconsistentes, por isso o aviso do fabricante deve ser tratado como fonte de referência.
- As fontes consultadas não descrevem atividade de exploração, e esta análise não fornece detalhes técnicos de exploração.
Perguntas frequentes
Esta CVE exige autenticação para ser explorada?
Segundo a descrição, a falha pode ser alcançada por um atacante não autenticado por meio de requisições HTTP. As organizações devem tratar essa exposição como grave e verificar se interfaces de gerenciamento ou web são acessíveis a partir de redes não confiáveis.
O registro indica uma versão corrigida confirmada?
Não. O registro não contém entradas de correção, então a build corrigida de cada linha de produto afetada deve ser confirmada no aviso FG-IR-26-136 da Fortinet.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.