Fortinet FortiSandbox under angrep: Tre kritiske 9.1-sårbarheter utnyttes, én kan være KI-generert
Tre kritiske sårbarheter i Fortinet FortiSandbox (CVE 2026 39813, 39808 og 25089) med CVSS score 9.1 er under aktivt angrep [8][17]. Exploiten mot CVE 2026 25089 beskrives som «vibecoded» – trolig KI generert – og viser hvordan AI senker terskelen for angripere, men samtidig produserer ustabil kode [14][34].
Publisert avRedigert med DeepSeek-V4-ProBilder generert med GPT Image 1.5
Tre kritiske sårbarheter i Fortinet FortiSandbox (CVE 2026 39813, 39808 og 25089) med CVSS score 9.1 er under aktivt angrep [8][17].
Exploiten mot CVE 2026 25089 beskrives som «vibecoded» – trolig KI generert – og viser hvordan AI senker terskelen for angripere, men samtidig produserer ustabil kode [14][34].
Sårbarhetene rammer både lokale installasjoner og cloud versjoner av FortiSandbox, en plattform andre Fortinet sikkerhetsprodukter støtter seg på for trusselvurderinger [32].
What are the three critical Fortinet FortiSandbox vulnerabilities being actively exploited as of mid-June 2026, what are their CVSS scores aAI-generated editorial hero image for What are the three critical Fortinet FortiSandbox vulnerabilities being actively exploited as of mid-June 2026, what are their CVSS scores a.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What are the three critical Fortinet FortiSandbox vulnerabilities being actively exploited as of mid-June 2026, what are their CVSS scores a. Article summary: Here is the full picture based on the latest reporting as of mid-June 2026.. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Fortinet, Ivanti, and SAP have released security updates to address multiple critical security vulnerabilities that could result in arbitrary code execution and information disclos" source context "Ivanti, Fortinet, and SAP Release Patches for Multiple Critical ..." Reference image 2: visual subject "Photo by THECYBERTHRONE on April 16, 2026. May be an image of text that says 'FORTINET FortiSandbox CRITICAL VULNERABILITY ADVISORY !'. Fortinet
openai.com
Trusseletterretningsfirmaet Defused rapporterte 16. juni 2026 at tre kritiske sårbarheter i Fortinets malwareanalyseplattform FortiSandbox utnyttes aktivt . Feilene tillater uautentisert fjernkjøring av kode og omgåelse av autentisering på et produkt som mange andre Fortinet-sikkerhetsapparater er avhengige av for å klassifisere skadevare. Én av exploitene er sannsynligvis KI-generert, noe som illustrerer både tempoet i våpenkappløpet og dagens begrensninger ved maskinskrevet angrepskode.
De tre sårbarhetene under aktiv utnyttelse
Alle tre sårbarhetene har fått CVSS-score 9.1, og havner dermed i kategorien kritisk, som krever umiddelbar oppdatering .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Fortinet FortiSandbox under angrep: Tre kritiske 9.1-sårbarheter utnyttes, én kan være KI-generert"?
Tre kritiske sårbarheter i Fortinet FortiSandbox (CVE 2026 39813, 39808 og 25089) med CVSS score 9.1 er under aktivt angrep [8][17].
What are the key points to validate first?
Tre kritiske sårbarheter i Fortinet FortiSandbox (CVE 2026 39813, 39808 og 25089) med CVSS score 9.1 er under aktivt angrep [8][17]. Exploiten mot CVE 2026 25089 beskrives som «vibecoded» – trolig KI generert – og viser hvordan AI senker terskelen for angripere, men samtidig produserer ustabil kode [14][34].
What should I do next in practice?
Sårbarhetene rammer både lokale installasjoner og cloud versjoner av FortiSandbox, en plattform andre Fortinet sikkerhetsprodukter støtter seg på for trusselvurderinger [32].
Fortinet FortiSandbox under angrep: Tre kritiske 9.1-sårbarheter utnyttes, én kan være KI-generert
Tre kritiske sårbarheter i Fortinet FortiSandbox (CVE 2026 39813, 39808 og 25089) med CVSS score 9.1 er under aktivt angrep [8][17]. Exploiten mot CVE 2026 25089 beskrives som «vibecoded» – trolig KI generert – og viser hvordan AI senker terskelen for angripere, men samtidig produserer ustabil kode [14][34].
Publisert avRedigert med DeepSeek-V4-ProBilder generert med GPT Image 1.5
Tre kritiske sårbarheter i Fortinet FortiSandbox (CVE 2026 39813, 39808 og 25089) med CVSS score 9.1 er under aktivt angrep [8][17].
Exploiten mot CVE 2026 25089 beskrives som «vibecoded» – trolig KI generert – og viser hvordan AI senker terskelen for angripere, men samtidig produserer ustabil kode [14][34].
Sårbarhetene rammer både lokale installasjoner og cloud versjoner av FortiSandbox, en plattform andre Fortinet sikkerhetsprodukter støtter seg på for trusselvurderinger [32].
What are the three critical Fortinet FortiSandbox vulnerabilities being actively exploited as of mid-June 2026, what are their CVSS scores aAI-generated editorial hero image for What are the three critical Fortinet FortiSandbox vulnerabilities being actively exploited as of mid-June 2026, what are their CVSS scores a.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What are the three critical Fortinet FortiSandbox vulnerabilities being actively exploited as of mid-June 2026, what are their CVSS scores a. Article summary: Here is the full picture based on the latest reporting as of mid-June 2026.. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Fortinet, Ivanti, and SAP have released security updates to address multiple critical security vulnerabilities that could result in arbitrary code execution and information disclos" source context "Ivanti, Fortinet, and SAP Release Patches for Multiple Critical ..." Reference image 2: visual subject "Photo by THECYBERTHRONE on April 16, 2026. May be an image of text that says 'FORTINET FortiSandbox CRITICAL VULNERABILITY ADVISORY !'. Fortinet
openai.com
Trusseletterretningsfirmaet Defused rapporterte 16. juni 2026 at tre kritiske sårbarheter i Fortinets malwareanalyseplattform FortiSandbox utnyttes aktivt . Feilene tillater uautentisert fjernkjøring av kode og omgåelse av autentisering på et produkt som mange andre Fortinet-sikkerhetsapparater er avhengige av for å klassifisere skadevare. Én av exploitene er sannsynligvis KI-generert, noe som illustrerer både tempoet i våpenkappløpet og dagens begrensninger ved maskinskrevet angrepskode.
De tre sårbarhetene under aktiv utnyttelse
Alle tre sårbarhetene har fått CVSS-score 9.1, og havner dermed i kategorien kritisk, som krever umiddelbar oppdatering .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Fortinet FortiSandbox under angrep: Tre kritiske 9.1-sårbarheter utnyttes, én kan være KI-generert"?
Tre kritiske sårbarheter i Fortinet FortiSandbox (CVE 2026 39813, 39808 og 25089) med CVSS score 9.1 er under aktivt angrep [8][17].
What are the key points to validate first?
Tre kritiske sårbarheter i Fortinet FortiSandbox (CVE 2026 39813, 39808 og 25089) med CVSS score 9.1 er under aktivt angrep [8][17]. Exploiten mot CVE 2026 25089 beskrives som «vibecoded» – trolig KI generert – og viser hvordan AI senker terskelen for angripere, men samtidig produserer ustabil kode [14][34].
What should I do next in practice?
Sårbarhetene rammer både lokale installasjoner og cloud versjoner av FortiSandbox, en plattform andre Fortinet sikkerhetsprodukter støtter seg på for trusselvurderinger [32].
Angrepsvektor: En uautentisert angriper kan omgå autentisering ved å sende spesialkonstruerte HTTP-forespørsler til FortiSandbox sitt JRPC API .
Berørte produkter: FortiSandbox 5.0.0 til 5.0.5, og 4.4.0 til 4.4.8 .
Status: Ingen tidligere registrert utnyttelse før rapportene 16. juni .
CVE-2026-39808: Kommandoinjeksjon i operativsystemet
Type: OS Command Injection
Angrepsvektor: En uautentisert angriper kan kjøre uautoriserte kommandoer ved å sende spesialkonstruerte HTTP-forespørsler .
Berørte produkter: FortiSandbox 4.4.0 til 4.4.8. Sikkerhetsoppdateringer ble adressert i tidligere Fortinet-råd .
CVE-2026-25089: Kommandoinjeksjon i webgrensesnittet
Type: OS Command Injection (CWE-78)
Angrepsvektor: Sårbarheten ligger i "start VNC"-funksjonen i webgrensesnittet, som sender urenset JSON-data direkte til operativsystemet. En uautentisert angriper kan kjøre vilkårlige kommandoer over nettverket .
Berørte versjoner:
FortiSandbox 5.0.0 til 5.0.5
FortiSandbox 4.4.0 til 4.4.8
FortiSandbox 4.2 (alle versjoner)
FortiSandbox Cloud 5.0.4 til 5.0.5
FortiSandbox PaaS 5.0.4 til 5.0.5
Sikkerhetsoppdatering: Fortinet publiserte et sikkerhetsråd (FG-IR-26-141) og oppdateringer 9. juni 2026. Oppgradering til FortiSandbox 5.0.6 eller nyere, FortiSandbox Cloud 5.0.6 eller nyere, og FortiSandbox PaaS 5.0.6 eller nyere løser problemet .
En merknad om CVSS-scoring: Enkelte tidlige kilder oppga CVE-2026-39808 og CVE-2026-39813 med CVSS-score 9.8 . Autoritativ rapportering fra midten av juni, inkludert NVD, Defused, BleepingComputer og The Hacker News, bekrefter likevel konsistent en 9.1-score for alle tre CVE-ene . Sikkerhetsteam bør forholde seg til 9.1-scoren for å tilpasse seg gjeldende trusseletterretning.
Hva CVE-2026-25089 avslører om KI-generert angrepskode
Defused rapporterte at exploiten rettet mot CVE-2026-25089 ser ut til å være «vibecodet» – et begrep som indikerer at koden sannsynligvis er KI-generert eller raskt skrudd sammen, og mangler presisjonen til en profesjonell, håndlaget exploit .
Dette gir et sjeldent innblikk i hvordan kunstig intelligens endrer økonomien i sårbarhetsutnyttelse:
Lavere inngangsterskel: KI-modeller kan raskt produsere funksjonell angrepskode for veldefinerte feilklasser som OS-kommandoinjeksjon. Dette gjør at mindre erfarne aktører kan forsøke seg på nyoppdagede sårbarheter. Ingen bekreftet, pålitelig offentlig exploit finnes for CVE-2026-25089, men utnyttelse startet likevel innen dager etter at oppdateringen kom .
Feilaktig og inkonsistent kjøring: Den observerte angrepskjeden bruker standard nettleser-brukeragent og grunnleggende HTTP-forespørsler. Selve nyttelasten vurderes imidlertid som «potensielt feilaktig med inkonsistente kjøringsresultater» . Dette stemmer overens med realiteten for KI-generert kode: den er ofte syntaktisk korrekt, men logisk skjør, spesielt for sårbarheter som krever presis manipulasjon på protokollnivå.
Mer støyende angrep: Feilaktige exploiter skaper mer nettverksstøy enn kirurgiske, menneskeskapte verktøy. For forsvarere betyr dette at angrepene kan være lettere å oppdage gjennom atferdsanalyse og anomalideteksjon, selv om de fortsatt er farlige nok til å lykkes mot uoppdaterte systemer .
En sannsynlig fremtidstrend: CVE-2026-25089 er en tidlig casestudie. Tilgjengeligheten av store språkmodeller har redusert tiden mellom publisering av en sikkerhetsoppdatering og de første utnyttelsesforsøkene. Selv om dagens resultater er inkonsistente, peker utviklingen mot mer kapabel KI-assistert utvikling av angrepskode i nær fremtid.
Hva sikkerhetsteam bør gjøre nå
De tre FortiSandbox-sårbarhetene er uautentiserte, har lav kompleksitet og krever ingen brukerinteraksjon – en ideell kombinasjon for automatisert skanning og masseutnyttelse . FortiSandbox er spesielt sensitivt fordi andre Fortinet-produkter, inkludert brannmurer og endepunktdeteksjonssystemer, kan være avhengige av plattformens trusselvurderinger for å utføre automatiserte blokkeringer .
Installer sikkerhetsoppdateringer umiddelbart: Oppgrader til de spesifiserte versjonene i Fortinets sikkerhetsråd FG-IR-26-141 for CVE-2026-25089, og sørg for at oppdateringene for CVE-2026-39813 og CVE-2026-39808 (publisert i april 2026) er installert .
Isoler administrasjonsgrensesnittet: Begrens tilgangen til FortiSandbox sitt webgrensesnitt og JRPC API fra ikke-klarerte nettverk. Disse grensesnittene bør ikke være eksponert mot internett .
Søk etter indikatorer på kompromiss (IoC): Se etter HTTP-forespørsler mot FortiSandbox-grensesnittet med uvanlige JSON-nyttelaster, og overvåk for standard nettleser-brukeragentstrenger i trafikken til enheten .
Anta påvirkning nedstrøms: Hvis du bruker FortiGate, FortiAnalyzer eller andre Fortinet-produkter integrert med FortiSandbox, kontroller at de mottar autentiske trusselvurderinger og at ingen uautoriserte konfigurasjonsendringer har skjedd.
Per 16. juni 2026 er det ikke bekreftet noen spesifikk trusselaktør eller kundepåvirkning, men det korte vinduet mellom sikkerhetsoppdatering og aktiv utnyttelse understreker at organisasjoner må behandle disse 9.1-feilene som topp-prioriterte hendelser .
Angrepsvektor: En uautentisert angriper kan omgå autentisering ved å sende spesialkonstruerte HTTP-forespørsler til FortiSandbox sitt JRPC API .
Berørte produkter: FortiSandbox 5.0.0 til 5.0.5, og 4.4.0 til 4.4.8 .
Status: Ingen tidligere registrert utnyttelse før rapportene 16. juni .
CVE-2026-39808: Kommandoinjeksjon i operativsystemet
Type: OS Command Injection
Angrepsvektor: En uautentisert angriper kan kjøre uautoriserte kommandoer ved å sende spesialkonstruerte HTTP-forespørsler .
Berørte produkter: FortiSandbox 4.4.0 til 4.4.8. Sikkerhetsoppdateringer ble adressert i tidligere Fortinet-råd .
CVE-2026-25089: Kommandoinjeksjon i webgrensesnittet
Type: OS Command Injection (CWE-78)
Angrepsvektor: Sårbarheten ligger i "start VNC"-funksjonen i webgrensesnittet, som sender urenset JSON-data direkte til operativsystemet. En uautentisert angriper kan kjøre vilkårlige kommandoer over nettverket .
Berørte versjoner:
FortiSandbox 5.0.0 til 5.0.5
FortiSandbox 4.4.0 til 4.4.8
FortiSandbox 4.2 (alle versjoner)
FortiSandbox Cloud 5.0.4 til 5.0.5
FortiSandbox PaaS 5.0.4 til 5.0.5
Sikkerhetsoppdatering: Fortinet publiserte et sikkerhetsråd (FG-IR-26-141) og oppdateringer 9. juni 2026. Oppgradering til FortiSandbox 5.0.6 eller nyere, FortiSandbox Cloud 5.0.6 eller nyere, og FortiSandbox PaaS 5.0.6 eller nyere løser problemet .
En merknad om CVSS-scoring: Enkelte tidlige kilder oppga CVE-2026-39808 og CVE-2026-39813 med CVSS-score 9.8 . Autoritativ rapportering fra midten av juni, inkludert NVD, Defused, BleepingComputer og The Hacker News, bekrefter likevel konsistent en 9.1-score for alle tre CVE-ene . Sikkerhetsteam bør forholde seg til 9.1-scoren for å tilpasse seg gjeldende trusseletterretning.
Hva CVE-2026-25089 avslører om KI-generert angrepskode
Defused rapporterte at exploiten rettet mot CVE-2026-25089 ser ut til å være «vibecodet» – et begrep som indikerer at koden sannsynligvis er KI-generert eller raskt skrudd sammen, og mangler presisjonen til en profesjonell, håndlaget exploit .
Dette gir et sjeldent innblikk i hvordan kunstig intelligens endrer økonomien i sårbarhetsutnyttelse:
Lavere inngangsterskel: KI-modeller kan raskt produsere funksjonell angrepskode for veldefinerte feilklasser som OS-kommandoinjeksjon. Dette gjør at mindre erfarne aktører kan forsøke seg på nyoppdagede sårbarheter. Ingen bekreftet, pålitelig offentlig exploit finnes for CVE-2026-25089, men utnyttelse startet likevel innen dager etter at oppdateringen kom .
Feilaktig og inkonsistent kjøring: Den observerte angrepskjeden bruker standard nettleser-brukeragent og grunnleggende HTTP-forespørsler. Selve nyttelasten vurderes imidlertid som «potensielt feilaktig med inkonsistente kjøringsresultater» . Dette stemmer overens med realiteten for KI-generert kode: den er ofte syntaktisk korrekt, men logisk skjør, spesielt for sårbarheter som krever presis manipulasjon på protokollnivå.
Mer støyende angrep: Feilaktige exploiter skaper mer nettverksstøy enn kirurgiske, menneskeskapte verktøy. For forsvarere betyr dette at angrepene kan være lettere å oppdage gjennom atferdsanalyse og anomalideteksjon, selv om de fortsatt er farlige nok til å lykkes mot uoppdaterte systemer .
En sannsynlig fremtidstrend: CVE-2026-25089 er en tidlig casestudie. Tilgjengeligheten av store språkmodeller har redusert tiden mellom publisering av en sikkerhetsoppdatering og de første utnyttelsesforsøkene. Selv om dagens resultater er inkonsistente, peker utviklingen mot mer kapabel KI-assistert utvikling av angrepskode i nær fremtid.
Hva sikkerhetsteam bør gjøre nå
De tre FortiSandbox-sårbarhetene er uautentiserte, har lav kompleksitet og krever ingen brukerinteraksjon – en ideell kombinasjon for automatisert skanning og masseutnyttelse . FortiSandbox er spesielt sensitivt fordi andre Fortinet-produkter, inkludert brannmurer og endepunktdeteksjonssystemer, kan være avhengige av plattformens trusselvurderinger for å utføre automatiserte blokkeringer .
Installer sikkerhetsoppdateringer umiddelbart: Oppgrader til de spesifiserte versjonene i Fortinets sikkerhetsråd FG-IR-26-141 for CVE-2026-25089, og sørg for at oppdateringene for CVE-2026-39813 og CVE-2026-39808 (publisert i april 2026) er installert .
Isoler administrasjonsgrensesnittet: Begrens tilgangen til FortiSandbox sitt webgrensesnitt og JRPC API fra ikke-klarerte nettverk. Disse grensesnittene bør ikke være eksponert mot internett .
Søk etter indikatorer på kompromiss (IoC): Se etter HTTP-forespørsler mot FortiSandbox-grensesnittet med uvanlige JSON-nyttelaster, og overvåk for standard nettleser-brukeragentstrenger i trafikken til enheten .
Anta påvirkning nedstrøms: Hvis du bruker FortiGate, FortiAnalyzer eller andre Fortinet-produkter integrert med FortiSandbox, kontroller at de mottar autentiske trusselvurderinger og at ingen uautoriserte konfigurasjonsendringer har skjedd.
Per 16. juni 2026 er det ikke bekreftet noen spesifikk trusselaktør eller kundepåvirkning, men det korte vinduet mellom sikkerhetsoppdatering og aktiv utnyttelse understreker at organisasjoner må behandle disse 9.1-feilene som topp-prioriterte hendelser .
thehackernews.comAttackers Exploit Three Fortinet FortiSandbox Flaws, One ...
bleepingcomputer.comCritical Fortinet FortiSandbox flaws now exploited in attacks
innovationnetworkdesign.comCRITICAL: Three FortiSandbox Flaws Under Active Explo…
cisecurity.orgMultiple Vulnerabilities in Fortinet Products Could Allow ...