FortiSandboxの脆弱性CVE-2026-39813が実環境で悪用、未認証で認証回避と権限昇格の恐れ

「攻撃を見張るためのセキュリティ機器が、逆に侵入口になるなんてあるんでしゅか？」
「うちのネットワークの土台になっている装置が狙われたら、どうなっちゃうんでしゅか……」

チップス

守り神だと思ってた装置が穴になるなんて、想像してなかったでしゅ……。

ボス

守りの要ほど、攻撃者にとっては魅力的な的になる。FortiSandboxの一件はその典型だな。順に見ていくぞ。

本記事では、FortinetのFortiSandboxで実環境の悪用が報告された脆弱性について、何が起きたのかと、運用する組織が今すべきことを整理します。

読み終える頃には、セキュリティ機器そのものを「守る対象」として点検する視点が手に入ります。

FortiSandboxの脆弱性悪用、その概要

まず何が報告されたのかを整理します。

3つの脆弱性が攻撃に使われた

脅威情報企業のDefusedは2026年6月16日、FortiSandboxの3つの脆弱性が攻撃者に悪用されていると報告しました。
FortiSandboxは、疑わしいファイルを隔離環境で実行して安全か判定する装置です。
ほかのFortinet製品はこの判定結果を頼りに動くため、土台が崩れると守り全体に影響が及びます。
悪用が確認された脆弱性は、いずれもすでに修正版が公開されています。

報告された3件を整理すると以下のとおりです。

チップス

未認証って、ログインもしないで攻撃できちゃうってことでしゅか？

ボス

そのとおり。IDもパスワードもいらん。だからこそ危険度が高いんだ。次でその仕組みを見ていくぞ。

パストラバーサルの仕組みと影響範囲

最も深刻なCVE-2026-39813を中心に、何が危ないのかを掘り下げます。

認証を飛び越えて権限を奪う手口

パストラバーサルは、本来アクセスできないファイルの場所を細工した要求で指定し、想定外の領域へ入り込む攻撃です。
CVE-2026-39813では、JRPC APIに細工したHTTP要求を送ることで、認証の壁を飛び越えられます。
そのうえで権限昇格まで進めるため、装置を実質的に乗っ取られる恐れがあります。
影響を受けるのはFortiSandbox 5.0.0〜5.0.5と4.4.0〜4.4.8で、5.0.6以降と4.4.9以降で修正されています。

運用する組織が今すぐ確認すべき点は次のとおりです。

チップス

修正版が出てるなら、もう安心していいんでしゅか？

ボス

更新して初めて安心だ。実際に悪用されている以上、後回しは禁物だぞ。

まとめ：守りの装置こそ最優先で更新する

FortiSandboxの一件は、守るための装置そのものが攻撃の的になる現実を示しています。
とくにCVE-2026-39813は未認証で認証回避から権限昇格まで進めるため、放置するほど危険が増します。
セキュリティ機器は止めにくいぶん更新を先送りしがちですが、悪用が始まった今は最優先で手をつけるべきです。
こうした脆弱性対応やインフラの防御を最前線で担いたい方は、ぜひセキュリティフリーランス案件に目を向けてみてください。

参考: Help Net Security「Attackers are exploiting FortiSandbox vulnerabilities」
参考: Fortinet PSIRT「FG-IR-26-112」