Fortinet hat drei Sicherheitshinweise zu Schwachstellen in FortiSandbox, FortiOS, FortiProxy und FortiPortal veröffentlicht. Die gravierendste Lücke ist CVE-2026-25089 mit einem CVSS-Wert von 9,8. Dabei handelt es sich um eine OS-Command-Injection-Schwachstelle in FortiSandbox, FortiSandbox Cloud und der WEB UI von FortiSandbox PaaS.
Nach Angaben von Fortinet können entfernte Angreifer die Schwachstelle ohne Authentifizierung über speziell präparierte HTTP-Anfragen ausnutzen, um auf verwundbaren Appliances beliebige Befehle auszuführen. Korrekturen stehen in FortiSandbox 5.0.6 und 4.4.9, in FortiSandbox Cloud 5.0.6 sowie in FortiSandbox PaaS 5.0.6 bereit.
Die beiden weiteren von Fortinet am Dienstag geschlossenen Lücken stuft das Unternehmen als mittelschwer ein. Sie betreffen FortiOS und FortiProxy sowie die API von FortiPortal. Authentifizierte Nutzer könnten diese Schwachstellen zur Skriptausführung beziehungsweise zur Offenlegung sensibler Netzwerkkonfigurationsdaten missbrauchen. Fortinet erwähnt nicht, dass eine dieser Schwachstellen bereits aktiv ausgenutzt worden wäre.
Auch Ivanti hat am Dienstag mehrere Updates veröffentlicht. Für Sentry erschienen die Versionen 10.5.2, 10.6.2 und 10.7.1, für Endpoint Manager Mobile (EPMM) die Versionen 12.9.0.1, 12.8.0.3 und 12.7.0.2. Beide Produktlinien erhalten jeweils Korrekturen für zwei Sicherheitslücken.
Im Fall von Sentry beseitigt das Update zwei kritische Schwachstellen. Dazu gehört CVE-2026-10520 mit einem CVSS-Wert von 10. Die Lücke ist ebenfalls eine OS-Command-Injection und kann laut Ivanti aus der Ferne und ohne Authentifizierung ausgenutzt werden, um beliebigen Code mit Root-Rechten auszuführen.
Die zweite kritische Sentry-Schwachstelle wird als CVE-2026-10523 geführt und hat einen CVSS-Wert von 9,9. Sie ermöglicht eine Umgehung der Authentifizierung. Dadurch könnten entfernte, nicht angemeldete Angreifer Benutzerkonten mit der Rolle Administrator anlegen und vollständigen Zugriff auf verwundbare Appliances erlangen.
Für EPMM behebt Ivanti zudem zwei schwerwiegende Schwachstellen mit den Kennungen CVE-2026-6973 und CVE-2026-10727. Nach Herstellerangaben könnten authentifizierte Angreifer darüber per beliebiger Apache-Direktiven Remotecodeausführung erreichen beziehungsweise beliebige Befehle mit Root-Rechten ausführen.
Ivanti erklärt, es gebe keine Hinweise darauf, dass eine der genannten Schwachstellen in freier Wildbahn ausgenutzt worden sei. Damit liegen von beiden Herstellern zwar Patches für mehrere kritische und hochriskante Lücken vor, aber keine bekannten Bestätigungen für aktive Angriffe.