Analyse de la surface d’attaque de l’outil Fortinet FortiSandbox

Une sandbox de malware a une seule mission : inviter des fichiers suspects dans une pièce contrôlée et les regarder mal se comporter. Le problème, parce que la sécurité semble avoir choisi l’ironie comme mode de vie, c’est que cette pièce contrôlée reste un logiciel. Elle a des services, des entrées, des cycles de mise à jour, et parfois une trappe surprise là où le sol était censé se trouver. Fortinet FortiSandbox nous rappelle maintenant que les outils conçus pour inspecter les menaces peuvent eux-mêmes devenir une surface d’attaque hautement prioritaire.

Ce qui s’est passé, selon Infosecurity Magazine

Infosecurity Magazine, par la voix du journaliste Kevin Poireault, a rapporté que la CISA a ajouté deux vulnérabilités de Fortinet FortiSandbox, CVE-2026-39808 et CVE-2026-25089, à son catalogue des vulnérabilités connues exploitées le 16 juillet. Le même rapport indique que les deux failles sont critiques et ont chacune un score CVSS de 9,1, ce qui, dans le monde de la notation des vulnérabilités, équivaut à entendre le violoncelle menaçant juste avant l’apparition du monstre. La CISA a demandé aux agences fédérales d’appliquer les correctifs avant le 19 juillet, une fenêtre courte qui parle moins de dramatisation que de la vitesse à laquelle des bugs déjà exploités passent d’un PDF d’avis de sécurité au projet du week-end de quelqu’un d’autre. Sergiu Gatlan, de BleepingComputer, a rapporté que Fortinet avait corrigé CVE-2026-39808 le 14 avril et CVE-2026-25089 le 9 juin. BleepingComputer a également rapporté que la société de renseignement sur les menaces Defused avait déclaré le 16 juin que des attaquants avaient commencé à exploiter plusieurs vulnérabilités de FortiSandbox dans la nature, dont ces deux-là. Cette chronologie résume la leçon opérationnelle en miniature : les correctifs peuvent exister, l’exploitation peut suivre, et les propriétaires d’actifs peuvent encore se retrouver à se demander où l’appliance est branchée.

Ce qui était à risque, selon BleepingComputer

BleepingComputer a rapporté qu’une exploitation réussie permet à des acteurs malveillants non authentifiés d’exécuter du code non autorisé à distance via des attaques par injection de commandes de faible complexité, sans interaction de l’utilisateur. Traduction : personne n’a besoin de convaincre gentiment un administrateur de cliquer sur une pièce jointe maudite. Si un déploiement affecté est accessible et non corrigé, le scénario ressemble davantage à une machine qui accepte une entrée spécialement conçue et en fait quelque chose de mauvais. C’est important, car FortiSandbox s’intègre dans les flux de travail d’analyse et de détection des malwares, comme l’a décrit Infosecurity Magazine. Ces systèmes sont conçus pour traiter des fichiers et des URL suspects, ce qui signifie qu’ils se trouvent souvent à proximité de télémétrie sensible, de processus d’investigation et d’outils de réponse. Une sandbox est censée être l’endroit où les éléments risqués sont contenus, pas un joli point de vue sur le reste de l’environnement.

La leçon pour les équipes de réponse, selon la couverture de

la CISA par Infosecurity Magazine Le rapport d’Infosecurity Magazine sur l’action KEV de la CISA donne aux défenseurs une première mesure pratique : ne classez pas les appliances de sécurité plus bas simplement parce qu’elles portent un badge indiquant qu’elles sont là pour aider. Intégrez les instances FortiSandbox au même processus d’inventaire que les applications exposées à Internet, les appliances VPN, les systèmes d’identité et tout autre élément capable d’accepter des entrées à distance. Le petit secret usé de la gestion des vulnérabilités, c’est que le correctif que vous ne déployez pas se moque de savoir si la machine a été achetée par l’équipe sécurité. BleepingComputer a rapporté que les administrateurs doivent mettre à niveau les déploiements affectés vers les dernières versions publiées afin de résoudre les problèmes et de bloquer les attaques entrantes. Cela devrait s’accompagner d’un examen de l’exposition : confirmez d’où FortiSandbox est accessible, restreignez l’accès administratif et vérifiez si les interfaces d’analyse sont inutilement accessibles. La segmentation n’a rien de glamour, mais expliquer pourquoi le système d’inspection des malwares est devenu le point d’entrée ne l’est pas non plus.

Ce que cela signifie concrètement pour vous, selon BleepingComputer

BleepingComputer a noté que Fortinet n’avait pas marqué les deux vulnérabilités comme utilisées dans des attaques au moment de son rapport, tandis que la CISA et les rapports de renseignement sur les menaces considéraient l’exploitation comme active. Cet écart n’est pas une raison d’attendre. C’est une raison de construire un processus qui ne dépend pas d’une formulation parfaite du fournisseur avant de lancer l’application de correctifs d’urgence. Pour les défenseurs, le message est simple : l’infrastructure d’analyse et de détection des malwares est une infrastructure de production. Inventoriez-la, segmentez-la, corrigez-la selon des délais d’urgence lorsqu’elle apparaît dans le catalogue KEV de la CISA, et vérifiez la mise à niveau au lieu de supposer que l’appliance clignotante dans la baie est protégée spirituellement. La prochaine fois qu’un outil de sécurité reçoit un avis critique, traitez-le comme un vrai service avec une vraie exposition, parce que les acteurs malveillants le feront certainement.