Fortinet ha revelado dos vulnerabilidades críticas de seguridad que afectan a su plataforma FortiSandbox, ambas con una puntuación CVSSv3 de 9.1. Las fallas, publicadas el 14 de abril de 2026, podrían permitir a atacantes remotos no autenticados ejecutar comandos arbitrarios y eludir por completo la autenticación, lo que representa un riesgo grave para los entornos empresariales que dependen de FortiSandbox para la detección avanzada de amenazas. 

Fortinet ha revelado dos vulnerabilidades críticas de seguridad que afectan a su plataforma FortiSandbox, ambas con una puntuación CVSSv3 de 9.1.

Las fallas, publicadas el 14 de abril de 2026, podrían permitir a atacantes remotos no autenticados ejecutar comandos arbitrarios y eludir la autenticación por completo, lo que supone un riesgo grave para los entornos empresariales que dependen de FortiSandbox para la detección avanzada de amenazas.

Falla de inyección de comandos del sistema (CVE-2026-39808)

La primera vulnerabilidad, identificada como CVE-2026-39808, es una neutralización incorrecta de elementos especiales usados en un comando del sistema, clasificada bajo CWE-78.

La falla reside en el componente API de FortiSandbox y permite a un atacante no autenticado ejecutar código o comandos no autorizados mediante el envío de solicitudes HTTP especialmente diseñadas.

Al no requerir autenticación y tener un vector de ataque basado en la red, esta vulnerabilidad representa una amenaza de baja complejidad y alto impacto. Una explotación exitosa podría resultar en la compromisión total del entorno de sandboxing, socavando el sistema diseñado para analizar y contener archivos maliciosos.

Versiones afectadas y solución:

• FortiSandbox 4.4 (versiones 4.4.0 a 4.4.8) — actualiza a 4.4.9 o superior
• FortiSandbox 5.0 — no afectado
• FortiSandbox PaaS 5.0 — no impactado; no se requiere acción

La vulnerabilidad fue reportada de manera responsable por Samuel de Lucas Maroto de KPMG España, y Fortinet ha reconocido la contribución del investigador.

Elusión de autenticación mediante recorrido de ruta (CVE-2026-39813)

La segunda vulnerabilidad crítica, CVE-2026-39813, es una falla de recorrido de ruta (Path Traversal) clasificada bajo CWE-24, que afecta a la API JRPC de FortiSandbox.

Un atacante no autenticado puede explotar esta debilidad mediante solicitudes HTTP especialmente diseñadas para eludir los controles de autenticación, siendo su principal impacto la escalada de privilegios.

Al igual que la primera falla, esta vulnerabilidad también tiene una puntuación CVSSv3 de 9.1 y no requiere interacción del usuario ni autenticación previa, lo que la hace igualmente peligrosa en implementaciones expuestas. Esta vulnerabilidad fue descubierta y reportada internamente por Loic Pantano del equipo PSIRT de Fortinet.

Versiones afectadas y solución:

• FortiSandbox 5.0 (versiones 5.0.0 a 5.0.5) — actualiza a 5.0.6 o superior
• FortiSandbox 4.4 (versiones 4.4.0 a 4.4.8) — actualiza a 4.4.9 o superior
• FortiSandbox 5.2 y 4.2 — no afectados

Hasta la fecha de publicación, no se ha observado explotación activa de ninguna de estas vulnerabilidades, pero dada su gravedad crítica y sus vectores de ataque sin autenticación, las organizaciones deben tratar estas revelaciones como prioridad alta.

Se insta a los equipos de seguridad a aplicar los parches recomendados de inmediato, auditar las implementaciones de FortiSandbox para detectar exposiciones y restringir el acceso a la API a redes confiables como medida temporal mientras se implementan las actualizaciones.