Una vulnerabilidad crítica en la interfaz gráfica de usuario de FortiSandbox permite a atacantes remotos eludir la autenticación.

Fortinet reveló una vulnerabilidad crítica de omisión de autenticación en la interfaz gráfica de usuario de FortiSandbox que podría permitir a atacantes remotos acceder a funciones protegidas sin credenciales válidas. Identificada como CVE-2026-107656, la vulnerabilidad tiene una puntuación CVSSv3 de 9.6 y afecta tanto a los dispositivos FortiSandbox como a ciertas versiones de FortiSandbox PaaS.

Publicada el 13 de octubre de 2026, la divulgación se encuentra registrada en el aviso de Fortinet FG-IR-26-185. Fortinet indica que el impacto potencial consiste en la ejecución de código o comandos no autorizados. Su aviso marca la explotación conocida como "No", lo que significa que la divulgación no establece que los atacantes ya hayan utilizado esta vulnerabilidad en ataques reales.

La vulnerabilidad se clasifica como CWE-288, Omisión de autenticación mediante una ruta o canal alternativo. Un atacante remoto podría enviar solicitudes HTTP manipuladas para eludir la autenticación de la interfaz gráfica de usuario. El vector CVSS proporcionado describe un ataque de red de baja complejidad, sin privilegios requeridos y sin interacción del usuario.

El aviso no proporciona rutas de solicitud específicas, una carga útil de explotación ni una cadena de ataque detallada. Estas limitaciones son importantes al evaluar la exposición. Los equipos de seguridad no deben asumir que esta vulnerabilidad comparte el mismo método de explotación que las vulnerabilidades anteriores de omisión de autenticación de FortiSandbox, que involucraban componentes y clases de vulnerabilidad diferentes.