Fortinet ha revelado una vulnerabilidad crítica de omisión de autenticación en la interfaz gráfica de usuario de FortiSandbox. Este fallo, identificado como CVE-2026-107656 y con una puntuación CVSSv3 de 9.6, permitiría a atacantes remotos acceder a funciones protegidas sin necesidad de credenciales válidas. La vulnerabilidad afecta tanto a los dispositivos físicos como a versiones seleccionadas de FortiSandbox PaaS.

Fortinet ha revelado una vulnerabilidad crítica de omisión de autenticación en la interfaz gráfica de usuario de FortiSandbox que podría permitir que atacantes remotos accedan a funciones protegidas sin credenciales válidas. Identificada como CVE-2026-107656, el fallo tiene una puntuación CVSSv3 reportada de 9.6 y afecta tanto a los dispositivos FortiSandbox como a versiones seleccionadas de FortiSandbox PaaS.

Publicada el 13 de octubre de 2026, la divulgación se encuentra registrada bajo el aviso de Fortinet FG-IR-26-185. Fortinet enumera el impacto potencial como la ejecución de código o comandos no autorizados. Su aviso marca la explotación conocida como “No”, lo que significa que la divulgación no establece que los atacantes ya hayan utilizado esta vulnerabilidad en ataques reales.

La debilidad está clasificada como CWE-288, Omisión de Autenticación Utilizando una Ruta o Canal Alternativo. Un atacante remoto podría enviar solicitudes HTTP manipuladas para saltarse la autenticación de la interfaz gráfica. El vector CVSS proporcionado describe un ataque de red con baja complejidad, sin privilegios requeridos y sin interacción del usuario.

El aviso no proporciona rutas de solicitud específicas, una carga útil de explotación ni una cadena de ataque detallada. Estas limitaciones son importantes cuando evalúes tu exposición. No debes asumir que este fallo comparte el mismo método de explotación que las vulnerabilidades anteriores de omisión de autenticación de FortiSandbox, las cuales involucraban componentes y clases de vulnerabilidad diferentes.

Versiones Afectadas y Actualizaciones Requeridas

Las versiones de FortiSandbox 5.0.0 hasta la 5.0.6 están afectadas y requieren una actualización a la 5.0.7 o posterior. Las versiones 4.4.0 hasta la 4.4.9 requieren una actualización a la 4.4.10 o posterior. FortiSandbox 5.2 no está afectada.

Para FortiSandbox PaaS, las versiones 5.0.0 hasta la 5.0.6 requieren una actualización a la 5.0.7 o posterior. Todas las versiones de PaaS 4.4 están afectadas, y Fortinet indica a los clientes que migren a una versión corregida. PaaS 5.2 no está afectada. No se menciona ningún parche virtual.

Fortinet acredita a Adham El Karn, de su equipo de Seguridad de Productos, el descubrimiento y reporte interno del problema. La compañía también reconoce a Jason McFadyen de TrendAI Research por la divulgación responsable.

Una vulnerabilidad de exposición de datos sensibles de FortiSandbox independiente afectó previamente a la interfaz web, pero sus correcciones no deben tratarse como protección contra este nuevo fallo. Debes comprobar tu producto y versión exacta frente al nuevo aviso antes de seleccionar una actualización. Esto evita que confundas correcciones de seguridad distintas.

Fuentes:
https://cybersecuritynews.com/fortisandbox-gui-vulnerability/