Die beiden kritischen FortiSandbox-Lücken stechen aus dem Bündel heraus. CVE-2026-39813 setzt an der JRPC-API der Appliance an und ermöglicht es, die Authentifizierung auszuhebeln. CVE-2026-39808 ist hingegen eine OS-Command-Injection-Schwachstelle, die zur Ausführung beliebigen Codes oder beliebiger Befehle missbraucht werden kann. Beide Fehler tragen einen CVSS-Wert von 9,1 und lassen sich ohne Authentifizierung über speziell gestaltete HTTP-Anfragen auslösen.
Ebenfalls am Dienstag behob Fortinet CVE-2026-22828, einen als hoch eingestuften Pufferüberlauf in FortiAnalyzer Cloud. Auch dieser Fehler lässt sich ohne Authentifizierung ausnutzen und kann zur Remote-Code-Ausführung oder zur Ausführung beliebiger Befehle führen.
Allerdings sei eine erfolgreiche Ausnutzung mit erheblichem Vorbereitungsaufwand verbunden, erklärt Fortinet. Verantwortlich dafür seien ASLR und Netzwerksegmentierung. Wegen der Segmentierung könne die Lücke nur dann ausgenutzt werden, wenn der Angreifer bereits Zugriff auf eine andere Cloud-Komponente derselben Organisation besitze.
Zusätzlich schloss das Unternehmen zwei als hoch eingestufte SQL-Injection-Lücken in FortiDDoS-F und FortiClientEMS. Über präparierte Anfragen ließen sich darüber beliebige SQL-Abfragen auf der Datenbank ausführen. Beide Schwachstellen setzen eine Authentifizierung voraus.
Die restlichen behobenen Schwachstellen sind mittlerer und niedriger Schwere. Sie reichen von Service Discovery, XSS-Angriffen, Codeausführung und Informationsabfluss über Path-Traversal-Angriffe, Schreiben und Löschen von Dateien, Nutzerumleitungen, Manipulation der Konfiguration und Denial-of-Service-Angriffe bis hin zur Entschlüsselung von Datenbank-Dumps, dem Abfließen von Zugangsdaten, der Umgehung der Authentifizierung und dem Löschen beliebiger Verzeichnisse.
Fortinet erwähnt keine Hinweise darauf, dass eine dieser Schwachstellen bereits in freier Wildbahn ausgenutzt wird. Weitere Details finden sich auf der PSIRT-Hinweisseite des Unternehmens.