Fortinet FortiSandbox OS Command Injection Vulnerability

NGHIÊM TRỌNG 9.8ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2026-25089 · Công bố 09/06/2026 · cập nhật 23/07/2026

Fortinet FortiSandbox OS Command Injection Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 16/07/2026. Hãy vá các hệ thống bị ảnh hưởng ngay.

Tóm tắt nhanh

CVE-2026-25089 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng fortisandbox (fortinet), fortisandbox cloud (fortinet), fortisandbox paas (fortinet).
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 16/07/2026.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 76.1%, cao hơn 99.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.4.9, 5.0.6 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
fortisandbox fortinet	`≥ 4.2.0, ≤ 4.2.8≥ 4.4.0, < 4.4.9≥ 5.0.0, < 5.0.6`	`4.4.95.0.6`
fortisandbox cloud fortinet	`≥ 5.0.4, < 5.0.6`	`5.0.6`
fortisandbox paas fortinet	`≥ 5.0.4, < 5.0.6`	`5.0.6`

Mô tả

A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 through 4.4.8, FortiSandbox 4.2 all versions, FortiSandbox Cloud 5.0.4 through 5.0.5, FortiSandbox PaaS 5.0.4 through 5.0.5 may allow an unauthenticated attacker to execute unauthorized commands via specifically crafted HTTP requests