Fortinet ha revelado una vulnerabilidad de seguridad crítica en su línea de productos FortiSandbox (identificada como CVE-2026-25089), la cual permite que atacantes remotos no autenticados ejecuten comandos arbitrarios del sistema operativo a través de la interfaz web. Este fallo, con una puntuación de riesgo de 9.1 (Crítica), afecta a diversas versiones de FortiSandbox, incluyendo sus despliegues en la nube (Cloud) y PaaS.

Fortinet ha revelado una vulnerabilidad de seguridad crítica en su línea de productos FortiSandbox que podría permitir a atacantes remotos no autenticados ejecutar comandos arbitrarios del sistema operativo a través de la interfaz web.

El fallo, rastreado como CVE-2026-25089 y con una puntuación CVSSv3 de 9.1 (Crítica), afecta a múltiples versiones de las implementaciones de FortiSandbox, FortiSandbox Cloud y FortiSandbox PaaS.

La vulnerabilidad se debe a una neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo (CWE-78), comúnmente conocida como inyección de comandos del SO, presente en la interfaz de usuario web de FortiSandbox.

Al enviar solicitudes HTTP específicamente diseñadas, un atacante remoto no autenticado puede explotar este fallo para ejecutar comandos no autorizados en el sistema subyacente.

Debido a que no se requiere autenticación para activar la vulnerabilidad, la complejidad del ataque es baja y el radio de impacto potencial es significativo. Una explotación exitosa puede resultar en el compromiso total de la confidencialidad, integridad y disponibilidad del sistema afectado, lo que explica su puntuación CVSS casi máxima.

El aviso fue descubierto y reportado internamente por Adham El Karn, del equipo de Seguridad de Productos de Fortinet, y publicado el 9 de junio de 2026, bajo la referencia interna FG-IR-26-141.

Versiones Afectadas y Soluciones

La vulnerabilidad afecta a las siguientes versiones del producto:

FortiSandbox 5.2, FortiSandbox Cloud 4.4, FortiSandbox Cloud 5.2, FortiSandbox PaaS 4.4, FortiSandbox PaaS 5.2 y FortiSandbox PaaS 23.4 no están afectados por esta vulnerabilidad.

Aunque actualmente no hay informes de explotación activa en el entorno real, la naturaleza no autenticada de este vector de ataque lo convierte en un objetivo de alta prioridad para los actores de amenazas.

FortiSandbox se despliega ampliamente en entornos empresariales como una plataforma de análisis de malware y detección de amenazas, lo que significa que un compromiso exitoso podría socavar todo el flujo de detección de amenazas de tu organización, otorgando a los atacantes un punto de apoyo estratégico.

Acciones Recomendadas

Se recomienda encarecidamente que tu equipo de seguridad tome las siguientes medidas inmediatamente:

• Actualiza las instalaciones afectadas de FortiSandbox a la versión 5.0.6, 4.4.9 o superior
• Restringe el acceso a la interfaz web a rangos de IP confiables como mitigación temporal
• Monitoriza los registros en busca de solicitudes HTTP anómalas dirigidas a la interfaz web de FortiSandbox
• Revisa el aviso oficial de Fortinet en el portal PSIRT de Fortinet para obtener más orientación

Si tu organización todavía utiliza cualquier versión afectada de 4.4.9 o 5.0.6, debes tratar esto como una prioridad urgente de parcheo dada la gravedad crítica y el requisito de cero autenticación.