Fortinet ha confermato lo sfruttamento attivo di tre vulnerabilità in FortiSandbox, la piattaforma su cui molti altri prodotti dell'azienda fanno affidamento per emettere i "verdetti" sulle minacce e attivare blocchi e risposte automatiche. Colpire questo componente significa colpire il cervello dell'analisi anti-malware di un'intera infrastruttura, con il rischio che difese ritenute affidabili smettano di funzionare proprio quando servono.
Le tre falle
Le vulnerabilità coinvolte sono identificate come CVE-2026-39813, CVE-2026-39808 e CVE-2026-25089. Le prime due, divulgate da Fortinet ad aprile 2026, hanno entrambe un punteggio CVSS di 9.1, quindi gravità critica, e condividono una caratteristica preoccupante: sono sfruttabili da un aggressore completamente non autenticato, da remoto, senza alcun privilegio iniziale né interazione della vittima.
CVE-2026-39813 è una vulnerabilità di path traversal nell'API JRPC di FortiSandbox che consente di aggirare l'autenticazione. Iniettando sequenze di attraversamento delle directory come ../../tmp/ all'interno delle richieste API, un attaccante può accedere a dati sensibili del sistema — backup di configurazione, numeri di serie, dettagli sulle versioni — senza disporre di alcuna credenziale.
CVE-2026-39808 è invece una falla di command injection del sistema operativo che può portare all'esecuzione di codice e comandi senza autenticazione. Per questa vulnerabilità esiste un proof-of-concept pubblico dall'aprile 2026, che sfrutta il parametro GET jid concatenando comandi Unix tramite pipe: payload coerenti con quel codice dimostrativo sono stati ora osservati in tentativi di attacco reali.
Perché è grave
L'esposizione di una piattaforma come FortiSandbox è doppiamente pericolosa. Da un lato, le informazioni che un attaccante può estrarre — configurazioni, numeri di serie, versioni — facilitano la pianificazione di attacchi più mirati. Dall'altro, la capacità di eseguire comandi su un nodo che orchestra le decisioni di sicurezza apre la strada alla manomissione dei verdetti, alla persistenza all'interno della rete e potenzialmente al sabotaggio delle automazioni difensive che dipendono dalla sandbox. Il fatto che il codice di sfruttamento circoli pubblicamente da settimane ha inevitabilmente accorciato i tempi tra la divulgazione e gli attacchi concreti.
Cosa fare
La priorità è applicare immediatamente gli aggiornamenti rilasciati da Fortinet per le versioni interessate di FortiSandbox: con exploit pubblici e sfruttamento già in corso, il margine per temporeggiare è nullo. Dove l'aggiornamento non possa essere applicato subito, è opportuno limitare al massimo l'esposizione dell'interfaccia di gestione e dell'API, restringendone l'accesso a reti fidate. È inoltre consigliabile passare in rassegna i log alla ricerca di richieste sospette verso l'API JRPC — in particolare sequenze di path traversal o parametri jid anomali — e, in caso di indizi di compromissione, considerare l'apparato come potenzialmente violato avviando le procedure di risposta agli incidenti.
