CVE-2026-39808 Inyección de comandos del sistema en Fortinet FortiSandbox

EXPLOTADA ACTIVAMENTE La agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 16 de julio de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección hasta el 19 de julio de 2026. Corregirla es prioritario.

Afectados

• Fortinet FortiSandbox

  desde 4.4.0 hasta 4.4.8

• Fortinet FortiSandbox PaaS

  23.4.437423.4.435023.3.432923.1.424522.2.415122.2.413422.1.411321.4.407221.3.4055

Qué hacer

1. Verificá si usás FortiSandbox y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
4. Priorizá la corrección: ya se usa en ataques reales.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• Ghost-Bx1/Fortinet-Exploits-CVE-2026-39808-106173-107656 ↗PoC e Exploits completos para CVE-2026-39808 (FortiSandbox RCE), CVE-2026-106173 (FortiSIEM gRPC Path Traversal RCE) e CVE-2026-107656 (FortiSandbox Auth Bypass) - CVSS 9.6-9.825 OCT · 23:03

Calculadora CVSS

CVSS 3.1 · 9.1 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Privilegios requeridosNinguno
• Interacción del usuarioNinguna
• AlcanceSin cambio
• ConfidencialidadAlta
• IntegridadAlta
• DisponibilidadAlta
• Madurez del exploitFuncional
• Nivel de remediaciónCorrección oficial
• Confianza del informeConfirmada

Descripción original

A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiSandbox 4.4.0 through 4.4.8 may allow attacker to execute unauthorized code or commands via <insert attack vector here>

Referencias (3)

• fortiguard.fortinet.com/psirt/FG-IR-26-100
• github.com/samu-delucas/CVE-2026-39808
• www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-39808

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.