Fortinetの「FortiSandbox」に実悪用が発覚、CISAが7月19日までの緊急対処を要請

米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Fortinetの脅威分析プラットフォーム「FortiSandbox」における2件の深刻な脆弱性が、実際の攻撃で悪用されていることを確認した。米連邦政府の文民機関は2026年7月19日（現地時間）までにパッチを適用するか、影響を受けるシステムをオフラインにするよう求められている。この脆弱性は、組織のセキュリティ製品群全体に影響を及ぼす「信頼チェーン」を崩壊させる恐れがあり、民間企業にとっても極めて緊急性の高い脅威となっている。

■FortiSandboxが標的となる理由

FortiSandboxは、企業や組織のセキュリティアーキテクチャにおいて、極めて特権的な位置を占めている。組織はこれを利用して、不審なファイルやURL、メールの添付ファイルを隔離された環境で実行（サンドボックス解析）し、その結果が「クリーン」か「悪意あり」かを判定する。この判定結果に、ファイアウォールやメールゲートウェイ、エンドポイントエージェント、SIEM、自動応答プラットフォームなどの他のFortinet製品が依存して動作している。

例えば、FortiGateファイアウォールはファイルの通過を許可するかどうかを判断する前にFortiSandboxの判定を参照し、FortiMailゲートウェイはメールの添付ファイルを配信する前に解析結果を待つ。FortiSandboxが侵害されると、攻撃者はセキュリティ基盤全体に深く侵入できるだけでなく、解析結果を改ざんして悪意あるペイロードを「クリーン」と判定させ、後続の侵入を容易にすることが可能になる。これは、単一の端末や境界ファイアウォールの侵害とは異なり、セキュリティの「信頼の根幹」そのものを揺るがす事態を意味する。

■root権限を奪取される2つの脆弱性

今回悪用が確認された「CVE-2026-39808」と「CVE-2026-25089」は、いずれもユーザー入力のサニタイズ不足に起因するOSコマンドインジェクション（CWE-78）の脆弱性である。どちらも認証を必要とせず、ユーザーの操作も不要で、HTTP経由でリモートから悪用可能となっている。

CVE-2026-39808（CVSS 9.1）は、2026年4月14日に公開された脆弱性で、FortiSandboxのAPIコンポーネントにおける `/fortisandbox/job-detail/tracer-behavior` エンドポイントに存在する。GETパラメータである `jid` の処理において、シェルメタ文字を排除せずにOSプロセスに渡してしまうため、攻撃者はパイプ文字（|）に続けて任意のコマンドを注入することで、root権限で実行させることができる。curlコマンド1回でシステムを完全に制御可能であり、GitHubにはすでに実証コード（PoC）が公開されている。対策はFortiSandbox 4.4.9以降へのアップデートである。

CVE-2026-25089（CVSS 9.1）は、2026年6月9日に公開された脆弱性で、FortiSandboxのWeb UIに存在する。影響範囲が広く、FortiSandbox 4.2.xの全サブバージョン、4.4.0〜4.4.8、5.0.0〜5.0.5、FortiSandbox Cloud 5.0.4〜5.0.5、FortiSandbox PaaS 5.0.4〜5.0.5に影響する。クラウドやPaaS環境にも影響するため、オフプレミスでサンドボックスを利用している組織にとって特に重要である。対策はFortiSandbox 4.4.9または5.0.6へのアップデートである。

CISAは両脆弱性のランサムウェア悪用状況を「不明（Unknown）」としているが、CISAの既知の脆弱性悪用カタログ（KEV）に登録されたことは、ベンダーの発表に関わらず、実際の悪用を示す独立した証拠をCISAが把握していることを意味する。

■実際の悪用状況と非対称なリスク

脅威インテリジェンス企業Defusedは、CISAのカタログ更新前24時間以内に、これら2つの脆弱性と、4月に公開された別の脆弱性（CVE-2026-39813：パス・トラバーサル）に対する悪用試行を観測したと報告した。また、CrowdSecのネットワークは、2026年6月中旬の最初の悪用検出時点で、CVE-2026-39808を探索する49個のユニークな悪意あるIPアドレスを特定していた。

ただし、2つの脆弱性のリスクは非対称である。CVE-2026-39808は4月から実用的なPoCが公開されている。一方、CVE-2026-25089は影響範囲が広いものの、現時点で機能する公開PoCは確認されていない。Defusedは、観測された悪用コードを「vibecoded」（AIが生成したような、書き方が粗雑で動作不良の可能性が高いコードを指す俗語）と評している。しかし、AIツールの普及により、脆弱性公開から実用的な武器化までの期間は短縮しているとの指摘もある。

Fortinetは2026年7月17日時点でアドバイザリを更新しておらず、メディアからの問い合わせにも回答していない。

■FortiBleedキャンペーンとの連携リスク

今回の脆弱性は単独の脅威ではない。2026年2月以降、「FortiBleed」と呼ばれるキャンペーンにより、インターネットに公開されたFortiGateファイアウォールから管理者やVPNの資格情報が大規模に窃取されている。SOCRadarの調査によると、攻撃者はMasscanやShodanを用いた大規模な偵察、SSHへの総当たり攻撃、カスタムツール「FortigateSniffer（fg_sniffer）」の展開、オフラインでのハッシュ解析、標的型データ窃取という5段階の攻撃チェーンを実行している。

fg_snifferは、FortiOSの正規コマンド `diagnose sniffer packet` を悪用し、RADIUSやLDAP、RDPなど24のプロトコルの認証トラフィックをパッシブに傍受する。これにより、従来のマルウェア検出を回避する。窃取されたハッシュは、GPUクラスターを用いてオフラインで高速に解析される。2026年6月19日時点で、検証済みの資格情報データベースには194カ国、86,644台のFortiGateデバイスが含まれており、これはインターネットに公開されているFortinet製ハードウェアの約半数に相当する。

SOCRadarは、FortiBleedをロシア語圏のランサムウェアグループ「Lynx/INC」に関連付けており、少なくとも12件のランサムウェア展開がこの資格情報に起因している。重要なのは、FortiSandboxが通常、FortiGateと同じ管理ネットワーク上に配置されている点である。FortiBleedでFortiGateの管理者資格情報を入手した攻撃者は、新たな脆弱性を悪用することなく、FortiSandboxが動作するセグメントにネットワークレベルでアクセスできる可能性がある。

■組織が今すぐ取るべき対策

米連邦文民機関は、BOD 26-04に基づき7月19日までの対処が義務付けられている。パッチ適用が間に合わない場合は、システムをオフラインにする必要がある。CISAは、証拠保全のために修復前にフォレンジック調査の要件を確認することを推奨している。

民間企業も、連邦政府の義務に関わらず、FortiSandboxのパッチ適用を最優先すべきである。推奨される対策パスは、FortiSandbox 4.4.0〜4.4.8は「4.4.9以降」、5.0.0〜5.0.5は「5.0.6以降」、4.2.xの全バージョンは「4.4.9または5.0.6」、CloudおよびPaaSの5.0.4〜5.0.5は「ベンダー提供のアップデート」を適用することである。

また、FortiGateを運用している組織は、FortiBleed対策も完了させる必要がある。最新のFortiOSへのアップデート、管理者の再ログインによるPBKDF2形式での資格情報再ハッシュ化の強制、多要素認証（MFA）の義務化、不審な認証ログの監査が必要である。

■注目ポイントQ&A

●FortiSandboxとは何ですか？また、これが侵害されるとファイアウォールが侵害されるよりも重大なのはなぜですか？

FortiSandboxは、不審なファイルやURL、メールの添付ファイルを隔離された仮想マシン内で実行し、その解析結果（クリーンか悪意があるか）をFortiGateファイアウォールやFortiMailなどの連携製品に返す専用のマルウェア解析装置です。単一のファイアウォールが侵害された場合、影響はそのデバイスを通過する通信にとどまります。しかし、FortiSandboxが侵害されると、連携するすべてのセキュリティ製品が参照する解析結果を攻撃者が改ざんできるようになります。これにより、自身のマルウェアを「クリーン」と判定させ、セキュリティ対策全体を密かに無効化することが可能になります。

●CVE-2026-39808の具体的な技術的欠陥と、悪用の難易度について教えてください。

CVE-2026-39808は、FortiSandboxのAPIエンドポイント（/fortisandbox/job-detail/tracer-behavior）におけるOSコマンドインジェクションの脆弱性（CWE-78）です。GETパラメータであるjidに渡されたユーザー入力を、シェルメタ文字を排除せずにOSのコマンドインタプリタに直接渡してしまうことに起因します。攻撃者はパイプ文字（|）に続けて任意のシェルコマンドを注入することで、root権限で実行させることができます。認証不要のHTTPリクエスト（単一のcurlコマンドなど）だけでシステムを完全に制御可能です。2026年4月以降、GitHubで動作する実証コード（PoC）が公開されているため、ネットワークアクセスが可能な攻撃者であれば、容易に悪用できます。

●自社でFortiBleed対策を完了している場合でも、今回のFortiSandboxの脆弱性によるリスクはありますか？

はい、リスクは残ります。FortiBleedはFortiGateファイアウォールを標的とした資格情報の窃取キャンペーンであり、今回のFortiSandboxの脆弱性は別の製品における新しい脆弱性です。FortiGateの対策（FortiOSのパッチ適用、資格情報の変更、MFAの強制など）を完了していても、FortiSandbox自体のパッチを適用しなければ脆弱性は解消されません。これらは個別に対策として両方実施する必要があります。また、FortiSandboxは通常、FortiGateと同じ管理ネットワーク上に配置されているため、FortiBleedで窃取された資格情報を持つ攻撃者が、すでにFortiSandboxへのネットワークアクセス権を得ている可能性もあります。そのため、FortiSandboxのパッチ適用は極めて急を要します。

●7月19日のパッチ適用期限は、民間企業にも適用されますか？

いいえ、BOD 26-04に基づく7月19日の期限は、米国の連邦文民政府機関（FCEB）に対して法的拘束力を持つものであり、民間企業に強制されるものではありません。しかし、CISAはすべての組織に対し、分野を問わずこれらの脆弱性への対処を最優先するよう強く促しています。CVE-2026-39808の実用的な悪用コードが公開されており、実際の悪用も確認されていること、またFortiSandboxがセキュリティアーキテクチャにおいて極めて重要な位置を占めていることから、パッチ適用を遅らせることは非常に大きなリスクを伴います。

元記事: FortiSandbox Exploited in Wild: Patch by Sunday or Trust Chain Collapses