跳到主要内容

超危

Fortinet多款产品操作系统命令注入漏洞(CVE-2026-25089)

2026-06-09 14:27:47 公开 ，2026-07-17 05:05:33 更新

  • CISA KEV
  • 关键漏洞
  • CWE Top 25 (2023)
  • CWE Top 25 (2024)
  • 远程
  • 无需认证
  • 公开PoC
CWEs：
CWE-78 （OS Command Injection）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2026-06-09 08:00:00

风险信息

CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C
CVSS v3.1 风险值
9.1

详细信息

漏洞类型
操作系统命令注入
漏洞描述
Fortinet FortiSandbox等都是美国飞塔（Fortinet）公司的产品。Fortinet FortiSandbox是一款APT（高级持续性威胁）防护设备。Fortinet FortiSandbox Cloud是一个恶意软件沙箱分析平台。Fortinet FortiSandbox PaaS是一个提供恶意文件分析与高级威胁检测能力的云端沙箱安全平台。Fortinet多款产品存在操作系统命令注入漏洞，该漏洞源于OS命令中特殊元素的中和不当，可能导致未经身份验证的攻击者通过特制HTTP请求执行未授权命令。以下产品及版本受到影响：Fortinet FortiSandbox 5.0.0版本至5.0.5版本、4.4.0版本至4.4.8版本、4.2所有版本、FortiSandbox Cloud 5.0.4版本至5.0.5版本和FortiSandbox PaaS 5.0.4版本至5.0.5版本。
修复建议
当前厂商已发布了补丁信息，请及时关注更新： https://fortiguard.fortinet.com/psirt/FG-IR-26-141

参考链接