FortiSandboxに認証回避の重大脆弱性、未認証でコマンド実行のおそれ（CVE-2026-107656）|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月15日更新日時: 2026年10月15日

Fortinetは2026年10月13日、マルウェア解析製品「FortiSandbox」と「FortiSandbox PaaS」のWeb管理インターフェースに、認証を回避される脆弱性「CVE-2026-107656」が存在すると公表しました。アドバイザリ「FG-IR-26-185」で示された深刻度はCritical、CVSS v3スコアは9.6です。

この脆弱性は、認証されていないリモートの攻撃者が細工したHTTPリクエストを送信することで、管理画面の認証を回避できる可能性があるものです。Fortinetは想定される影響を「不正なコードまたはコマンドの実行」としています。ただし、公表された脆弱性の説明は認証回避を中心としており、認証回避からコマンド実行に至る具体的な条件や手順まで明らかにしたものではありません。

CVE-2026-107656の概要

公表日：2026年10月13日
対象製品：FortiSandbox、FortiSandbox PaaS
CVE：CVE-2026-107656
Fortinetアドバイザリ：FG-IR-26-185
深刻度：Critical（CVSS v3：9.6）
脆弱性の分類：CWE-288（代替パスまたはチャネルを介した認証回避）
攻撃条件：ネットワーク経由、認証不要。細工したHTTPリクエストを利用
想定される影響：Web管理インターフェースの認証回避、不正なコード・コマンド実行のおそれ
悪用状況：Fortinetの公開時点の評価は「Known Exploited: No」。実際の攻撃への悪用が確認されたという発表ではありません
対応：影響する製品・バージョンに応じて修正版への更新、または修正版リリースへの移行

FortiSandboxは、不審なファイルなどを解析するためのセキュリティ製品です。今回問題が見つかったのはマルウェアを解析する機能そのものではなく、装置やサービスを管理するWebインターフェースです。管理画面への到達経路を制限しているかによっても、攻撃を受ける可能性は変わります。

影響するバージョンと修正版

Fortinetのアドバイザリに示された影響範囲は次のとおりです。FortiSandboxとFortiSandbox PaaSでは、4.4系の対応方法が異なります。

製品	影響するバージョン	対応方法
FortiSandbox 5.0	5.0.0～5.0.6	5.0.7以降へアップグレード
FortiSandbox 4.4	4.4.0～4.4.9	4.4.10以降へアップグレード
FortiSandbox 5.2	影響なし	本CVEに関する更新は不要
FortiSandbox PaaS 5.0	5.0.0～5.0.6	5.0.7以降へアップグレード
FortiSandbox PaaS 4.4	4.4系の全バージョン	修正済みリリースへ移行
FortiSandbox PaaS 5.2	影響なし	本CVEに関する更新は不要

カナダ・サイバーセキュリティセンターも10月13日付の注意喚起「AV26-1037」でFortiSandboxの4.4.10未満、5.0.7未満、およびFortiSandbox PaaSの4.4系全バージョンと5.0.7未満を対象に挙げ、ベンダーの案内に従った更新を求めています。

Fortinetのアドバイザリでは、本脆弱性に対応する仮想パッチ（Virtual Patch）は示されていません。特にFortiSandbox PaaS 4.4系では、同じ4.4系の更新だけで対処できるとは考えず、修正済みリリースへの移行計画を確認する必要があります。

Web管理画面の認証回避が問題に

今回の問題は、不適切なアクセス制御とセッション管理に起因すると説明されています。通常、管理画面はログイン済みの管理者だけが利用できるよう制御されますが、CVE-2026-107656では細工されたHTTPリクエストにより認証を迂回される可能性があります。

攻撃者に正規の管理者IDやパスワードが必要ない点が特徴です。一方、Fortinetが示す「不正なコードまたはコマンドの実行」は潜在的な影響の分類であり、すべての対象環境で直ちに遠隔コード実行が成立したと確認されたことを意味しません。

Fortinetは、同社Product SecurityチームのAdham El Karn氏による内部発見のほか、TrendAI ResearchのJason McFadyen氏からの責任ある開示を謝辞に挙げています。

情報システム・セキュリティ部門が確認したい対応

FortiSandboxを利用する組織は、まず管理対象の製品がFortiSandbox本体とPaaSのどちらに該当するか、導入バージョンが影響範囲に含まれるかを確認します。バージョンが一致する場合はFortinetの推奨手順に従ってアップグレードまたは移行を計画してください。

修正適用までの間は、管理インターフェースがインターネットから直接到達可能になっていないか、許可された管理ネットワークからのみ接続できるかを点検します。管理画面へのアクセスを制限することは一般的なリスク低減策ですが、今回の脆弱性を解消する修正の代わりにはなりません。

あわせて、管理画面への不審なアクセス、通常とは異なる管理操作、設定変更の履歴を確認し、更新前後のログを保全することが考えられます。現時点で本CVE専用の攻撃通信パターンが公式に提供されていると断定せず、製品の監査ログと公開アドバイザリの更新情報に基づいて確認します。

FortiSandboxでは2026年にも別の認証回避・コマンド実行関連の脆弱性が公表されており、4月のCVE-2026-39813／CVE-2026-39808や9月のCVE-2026-26084とは異なるCVEです。以前の脆弱性を修正していても、今回の影響バージョンに該当しないかは別途確認する必要があります。

複数の製品や拠点で更新順序を判断する場合は、脆弱性管理の進め方と優先順位付けも参考になります。