跳到主要内容

超危

Fortinet FortiSandbox操作系统命令注入漏洞(CVE-2026-39808)

2026-04-14 15:38:02 公开 ，2026-07-17 05:24:40 更新

  • CISA KEV
  • 关键漏洞
  • CWE Top 25 (2023)
  • CWE Top 25 (2024)
  • 远程
  • 无需认证
  • 公开PoC
CWEs：
CWE-78 （OS Command Injection）
CAPEC：
CAPEC-108 （Command Line Execution through SQL Injection） 、 CAPEC-15 （Command Delimiters） 、 CAPEC-43 （Exploiting Multiple Input Interpretation Layers） 、 CAPEC-6 （Argument Injection） 、 CAPEC-88 （OS Command Injection）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2026-04-14 08:00:00

风险信息

CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C
CVSS v3.1 风险值
9.8

详细信息

漏洞类型
操作系统命令注入
漏洞描述
Fortinet FortiSandbox是美国飞塔（Fortinet）公司的一款APT（高级持续性威胁）防护设备。该设备提供双重沙盒技术、动态威胁智能系统、实时控制面板和报告等功能。Fortinet FortiSandbox 4.4.0至4.4.8版本的/fortisandbox/job-detail/tracer-behavior API端点在处理jid参数时，未能正确清理或转义用户输入中的特殊元素和shell元字符（如管道符 |、分号 ;、反引号 `），导致攻击者可以注入并执行任意操作系统命令。
修复建议
当前厂商已发布了补丁信息，请及时关注更新： https://fortiguard.fortinet.com/psirt/FG-IR-26-100

参考链接