أصدرت Fortinet في 13 أكتوبر 2026 النشرة الأمنية FG-IR-26-185 عن ثغرة حرجة في الواجهة الرسومية (GUI) لمنتج FortiSandbox، قد تتيح لمهاجم عن بعد ودون مصادقة تجاوز المصادقة عبر طلبات HTTP مصاغة خصيصاً. وتشمل الثغرة منتج FortiSandbox ونسخة PaaS منه معاً، وتختلف الإصدارات المتأثرة والمصلحة بين الفرعين 5.0 و4.4.
تحمل الثغرة المعرف (CVE-2026-107656 بتقييم CVSS عند 9.6)، وهي ثغرة تجاوز المصادقة باستخدام مسار أو قناة بديلة، وهو الضعف الذي تعرفه قائمة MITRE بالرمز CWE-288 بأنه نظام يشترط المصادقة لكنه يوفر طريقاً ثانياً يمنح الوصول دون أي فحص لها. وتصف Fortinet أثرها المحتمل بتنفيذ شيفرة أو أوامر غير مصرح بها، ولم تنشر النشرة مسارات الطلبات ولا تفاصيل أخرى عن طريقة الاستغلال.
وتحمل النشرة عنوان “Improper access control and session management in the web management interface”، أي خلل في التحكم بالوصول وإدارة الجلسات في واجهة الإدارة عبر الويب. ويلخص ملفها الآلي بصيغة CSAF أثرها بأن مهاجماً عن بعد دون مصادقة قد يتمكن من الوصول غير المصرح به إلى الجهاز، ويصف متجه تقييمها ثغرة تستغل عبر الشبكة بتعقيد منخفض دون صلاحيات أو تفاعل من المستخدم.
تطال الثغرة الإصدارات من 5.0.0 إلى 5.0.6 من FortiSandbox، وتوصي Fortinet بالترقية إلى 5.0.7 أو أحدث. وتطال كذلك الإصدارات من 4.4.0 إلى 4.4.9، وحلها الترقية إلى 4.4.10 أو أحدث. أما الإصدار 5.2 فغير متأثر.
وفي نسخة FortiSandbox PaaS تتأثر الإصدارات من 5.0.0 إلى 5.0.6 بالحل نفسه، وهو الترقية إلى 5.0.7 أو أحدث. بينما تتأثر جميع إصدارات PaaS 4.4، وتطلب Fortinet من العملاء الانتقال إلى إصدار مصلح دون تحديد رقم له. والإصدار PaaS 5.2 غير متأثر.
وبحسب النشرة، اكتشف الثغرة وأبلغ عنها داخلياً Adham El Karn من فريق أمن المنتجات (Product Security) في Fortinet. وشكرت الشركة أيضاً Jason McFadyen من TrendAI Research على إبلاغه عنها بموجب الإفصاح المسؤول.
وتسجل Fortinet في النشرة أن الثغرة غير مستغلة، وأنه لا رقعة افتراضية (virtual patch) لها. ولم تذكر النشرة حلاً مؤقتاً، فالمعالجة المعلنة هي الترقية إلى الإصدارات المصلحة.
وكانت Fortinet قد نشرت في 14 أبريل 2026 نشرتين حرجتين لـ FortiSandbox بتقييم 9.8 لكل منهما، الأولى عن اجتياز مسار في واجهة JRPC API يتيح لمهاجم دون مصادقة تجاوز المصادقة، والثانية عن حقن أوامر نظام تشغيل عبر نقطة API. وسجلت الشركة وقتها أنهما غير مستغلتين، وهما في مكون API وفئتي ضعف مختلفتين، بينما الثغرة الجديدة في مكون GUI.
وكانت النشرة FG-IR-26-112 قد حلت الأولى بالترقية إلى 5.0.6 أو 4.4.9 أو أحدث، وحلت النشرة FG-IR-26-100 الثانية بالترقية إلى 4.4.9. ويقع هذان الإصداران ضمن النطاق المتأثر بالثغرة الجديدة، ما يعني أن من التزم بالحد الأدنى من التحديثات في أبريل لا يزال بحاجة إلى ترقية إضافية لتأمين نظامه.
