FortiSandboxに認証不要のOSコマンドインジェクション、CISA KEVに追加

CVE-2026-25089: FortiSandbox unauthenticated command injection added to CISA KEV

FortinetのFortiSandboxに、認証なしで悪用可能なOSコマンドインジェクションの脆弱性CVE-2026-25089が発見されました。CVSSスコアは9.8（Critical）で、CISAは7月16日にKEVカタログへ追加し、連邦政府機関に対して7月19日までの対応を求めています。すでに6月中旬から実際に悪用が確認されており、これは2か月以内に悪用された3つ目のFortiSandboxの脆弱性です。本記事では、影響を受けるバージョン、脆弱性の詳細、ネットワーク上で露出したインスタンスを特定するための調査手順、そして推奨される修正措置について解説します。