Fortinet publicó el 13 de octubre de 2026 el aviso FG-IR-26-185 sobre CVE-2026-107656, una evasión de autenticación (CWE-288) en la interfaz gráfica de FortiSandbox. Un atacante remoto sin autenticación podría saltarse el inicio de sesión con peticiones HTTP manipuladas. Fortinet califica la falla con 9,6 en CVSS v3 (crítica); en algunos registros, como Tenable, aparece 9,8. Fortinet indica que aún no hay explotación conocida ni parche virtual.
Si tienes FortiSandbox on-prem o PaaS en las ramas 5.0 o 4.4, esta alerta es para ti: revisa la versión y actualiza. La rama 5.2 no está afectada.
Qué pasó
- Tipo: Authentication Bypass Using an Alternate Path or Channel (CWE-288) en la GUI de FortiSandbox.
- Impacto: un atacante remoto no autenticado puede evadir la autenticación; Fortinet lista como impacto la ejecución de código o comandos no autorizados.
- Severidad: Fortinet califica 9,6 (crítica). En algunos registros aparece 9,8. Preferimos la calificación oficial de Fortinet.
- Explotación conocida: No, según Fortinet.
- Parche virtual: No.
- Descubrimiento: internamente por Fortinet PSIRT (Adham El Karn); también reportada por Jason McFadyen de TrendAI Research.
Quién está afectado
| Producto | Afectado | Acción |
|---|---|---|
| FortiSandbox 5.2 | No afectado | Sin acción por esta CVE |
| FortiSandbox 5.0.0-5.0.6 | Sí | Actualizar a 5.0.7 o posterior |
| FortiSandbox 4.4.0-4.4.9 | Sí | Actualizar a 4.4.10 o posterior |
| FortiSandbox PaaS 5.2 | No afectado | Sin acción por esta CVE |
| FortiSandbox PaaS 5.0.0-5.0.6 | Sí | Actualizar a 5.0.7 o posterior |
| FortiSandbox PaaS 4.4 (todas) | Sí | Migrar a una versión corregida |
La fuente oficial es el aviso FG-IR-26-185 en FortiGuard PSIRT.
Qué hacer hoy
- Inventaría tus FortiSandbox: anota versión on-prem y PaaS (5.2, 5.0.x o 4.4.x).
- Actualiza: 5.0.0-5.0.6 → 5.0.7+; 4.4.0-4.4.9 → 4.4.10+. En PaaS 4.4, migra a una versión corregida.
- Restringe la GUI: limita el acceso a redes administrativas de confianza. No dejes la interfaz de gestión expuesta a internet.
- Monitorea logs: revisa accesos anómalos a la GUI, intentos de autenticación raros y peticiones HTTP inusuales hacia el panel.
- Confirma que no estás en 5.2 afectado: si ya estás en 5.2 (on-prem o PaaS), esta CVE no te aplica; igual conviene mantener el inventario al día.
Por qué importa
FortiSandbox analiza archivos y URLs sospechosos en muchas organizaciones. Una GUI con evasión de autenticación sin credenciales es una puerta de entrada a un sistema que suele ver tráfico y muestras sensibles. Aunque Fortinet indica que aún no hay explotación conocida, las fallas críticas sin autenticación suelen atraer atención rápida cuando el aviso ya es público. Parchear y reducir la exposición de la GUI es la prioridad.
Cómo te ayuda NESS
NESS Unified IT Defense reúne inventario, gestión de vulnerabilidades, parches y monitoreo en una sola consola. Así sabes qué appliances y servidores tienes, qué versiones corren y si algo empieza a comportarse de forma extraña. Agenda una demo y mantén visibilidad de parches desde un solo lugar.
Preguntas frecuentes
¿Qué es CVE-2026-107656?
Es una evasión de autenticación (CWE-288) en la GUI de FortiSandbox. Un atacante remoto sin autenticación puede saltarse el inicio de sesión con peticiones HTTP manipuladas. Aviso Fortinet: FG-IR-26-185.
¿Cuál es el CVSS?
Fortinet califica 9,6 (crítica). En algunos registros, como Tenable, aparece 9,8. Usamos 9,6 como referencia oficial.
¿Se está explotando?
No. Fortinet indica que no hay explotación conocida al momento del aviso.
¿Hay parche virtual?
No. La mitigación es actualizar a una versión corregida y restringir el acceso a la GUI.
¿Qué versiones debo instalar?
FortiSandbox / PaaS 5.0.7 o posterior; FortiSandbox 4.4.10 o posterior. PaaS 4.4: migrar a una versión corregida. La rama 5.2 no está afectada.
¿Afecta FortiSandbox 5.2?
No. FortiSandbox 5.2 y FortiSandbox PaaS 5.2 no están afectados por esta CVE.
Actualiza FortiSandbox hoy
Agenda una demo de NESS y mantén inventario, parcheo y monitoreo desde una sola consola.
Fuentes
- Fortinet PSIRT, FG-IR-26-185 (13 oct 2026)
- Cyber Security News, FortiSandbox GUI vulnerability
- Tenable plugin / registro para FG-IR-26-185 (CVSS 9,8 en algunos scanners)
