觀點 · 資訊分享

CISA 把 FortiSandbox 兩個 9.8 分漏洞列入已遭利用清單：不用登入就能對設備下指令

CISA 在 7 月 16 日把兩個 FortiSandbox 作業系統指令注入漏洞與一個 SharePoint 反序列化漏洞列入「已遭利用」清單，三個 CVSS 都是 9.8。用 FortiSandbox 的人應升到 5.0.6 或 4.4.9 以上。

一句話看懂：CISA 在 7 月 16 日把兩個 FortiSandbox 漏洞和一個 SharePoint 漏洞列入「已遭利用」清單，三個漏洞的 CVSS 嚴重度分數都是 9.8（滿分 10）；用 FortiSandbox 的人應升到 5.0.6 或 4.4.9 以上的版本。

FortiSandbox 漏洞列入已遭利用清單資訊圖卡：不用登入就能對資安沙箱下指令，CISA 說已有實際攻擊

先用白話講：這份清單是什麼？

CISA 是美國的網路安全機關。它維護一份「已知遭利用漏洞」清單（KEV）：不是所有漏洞都收，只收有證據顯示已經被壞人實際拿來攻擊的。

想像一棟大樓的鎖有很多種瑕疵，大部分只是「理論上可能被撬開」；上了這份清單的，等於警察說「這種鎖已經有人被撬了，請盡快換」。

FortiSandbox 則是 Fortinet 的資安沙箱設備，用來把可疑檔案放進隔離環境引爆觀察。拿來守門的設備自己被攻破，後果特別嚴重。

CISA 在 2026-07-16 的警示中，一次加入三個漏洞：

CISA 只說「有實際遭利用的證據」，沒有公布是誰在攻擊、規模多大，這部分目前沒有資訊。

兩個都是 OS command injection（作業系統指令注入）：設備把使用者送來的內容，不加檢查就拿去組成系統指令執行，攻擊者便能「夾帶」自己的指令。

CVE-2026-25089：Fortinet 在 6 月 9 日公告，說明是網頁介面中的漏洞，未登入的攻擊者可以用特製的 HTTP 請求執行指令。影響 5.0.0 到 5.0.5 與 4.4.0 到 4.4.8，雲端版（FortiSandbox Cloud 與 PaaS）的 5.0.4 到 5.0.5 也受影響
CVE-2026-39808：Fortinet 在 4 月 14 日公告，出在 API 端點，同樣是未登入就能利用，影響 4.4.0 到 4.4.8
兩個漏洞的 CVSS 都是 9.8，屬於「嚴重」等級

版本系列	有風險的版本	修正版本
5.0	5.0.0 到 5.0.5	5.0.6 或更新
4.4	4.4.0 到 4.4.8	4.4.9 或更新

5.2 系列不受 CVE-2026-25089 影響。NVD 對這個 CVE 的描述另外寫到「4.2 的所有版本」，但 Fortinet 的公告表格沒有列 4.2，如果你還在用這麼舊的版本，請直接向原廠確認。

NVD 記載這個漏洞在 7 月 14 日公開，類型是反序列化不受信任的資料，未經授權的攻擊者能透過網路執行程式碼，CVSS 同樣是 9.8。微軟的更新指南頁面需要 JavaScript 才能顯示，我沒辦法在這裡引用內容，請自行到微軟的安全更新指南查看對應的更新。

三個漏洞在 KEV 清單的處理期限都是 2026-07-19，從列入到期限只有 3 天（自行換算）。CISA 說這個強制期限只適用於美國聯邦民用機關，但建議所有組織都用同樣的風險導向方式處理
修補順序建議：先找出「能從網際網路連到」的設備，這是最容易被打到的
如果更新前設備可能已被攻擊，光升版不夠，還要檢查有沒有被留下後門。CISA 的新指令（BOD 26-04）提到機關要確認系統在修補前是否已被入侵，這個想法值得套用
Fortinet 兩份公告頁的「Known Exploited」欄位，我開啟時仍顯示 No，跟 CISA 的認定不一致，可能是頁面還沒更新（這是我的推測，官方沒有說明）

接案時常遇到客戶的設備「買了就放著」：防火牆、沙箱、郵件閘道，只要沒壞就沒人去動韌體。這類資安設備最麻煩的地方是，它們通常直接面對網路、權限又高，一旦被打穿，攻擊者等於拿到內網的入口。

如果你的公司有 FortiSandbox 或自架 SharePoint，這幾天請把更新排在最前面。沒有這些產品的人，這篇也給一個提醒：把「設備韌體有沒有人負責更新」列進維運清單，比等到上了 KEV 才處理好得多。

KEV 清單是什麼？

CISA（美國網路安全暨基礎設施安全局）維護的「已知遭利用漏洞」清單，只收有證據顯示已被實際攻擊的漏洞，所以比一般漏洞公告更急迫。

FortiSandbox 的漏洞怎麼修？

照 Fortinet 的公告：5.0 系列升到 5.0.6 或更新版本，4.4 系列升到 4.4.9 或更新版本；5.2 版不受 CVE-2026-25089 影響。其他細節請看 Fortinet 的官方公告頁。

我只有一般企業環境，需要在意 KEV 嗎？

CISA 說它的強制期限只適用於美國聯邦民用機關，但建議所有組織都用同樣的風險導向方式，優先處理清單上的漏洞。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。