FortiSandbox Fabric API'sinde gömülü anahtar sorunu: bazı uç noktalara kimliksiz erişim mümkün

FortiSandbox için 13 Ekim 2026'da yayımlanan bildirimlerden biri de Security Fabric entegrasyonunda kullanılan API'yi ilgilendiriyor. FG-IR-26-179 numaralı bildirimde yer alan CVE-2026-106172, sabit kodlanmış kriptografik anahtar kullanımı (CWE-321) olarak sınıflandırıldı.

Ne oluyor?

Fortinet'e göre FortiSandbox ve FortiSandbox Cloud API'sindeki bu zayıflık, kimliği doğrulanmamış bir saldırganın özel hazırlanmış HTTP istekleriyle bazı API uç noktalarına erişmesine yol açabiliyor. Açık CVSSv3'te 4.9 puan aldı ve "orta" önem derecesinde değerlendirildi; etkisi yetki yükseltme olarak tanımlandı. Puanın düşük kalmasının nedeni, vektöre göre etkinin yalnızca sınırlı bir gizlilik kaybıyla sınırlı olması.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Açığı watchTowr'dan Sina Kheirkhah (SinSinology) sorumlu ifşa yoluyla bildirdi. Fortinet, bildirimin yayımlandığı tarihte açığın istismar edildiğine dair bir bilgisi olmadığını belirtiyor.

Sürümler

• FortiSandbox 5.2: 5.2.0–5.2.1 etkileniyor; çözüm yakında çıkacak 5.2.2 veya üstü.
• FortiSandbox 5.0: 5.0.0–5.0.6 etkileniyor; çözüm 5.0.7 veya üstü.
• FortiSandbox 4.4: tüm sürümler etkileniyor; düzeltilmiş bir hatta geçiş gerekiyor.
• FortiSandbox Cloud: 5.2.0–5.2.1 ve 5.0.0–5.0.6 etkileniyor, her iki hat için de çözüm sürümleri bildirimde "yakında" olarak işaretli; 4.4 için geçiş öneriliyor.

Bildirimde geçici çözüm veya sanal yama yer almıyor.

Aynı günün diğer FortiSandbox açıkları

Fortinet aynı yayında FortiSandbox için kritik seviyede bir kimlik doğrulama atlatma açığını (CVE-2026-107656) ve yönetici profilinde kalıcı hizmet reddine yol açan bir sorunu da duyurdu. Gömülü anahtar gibi tasarım kaynaklı sorunlar, tek tek düşük puan alsalar bile başka açıklarla birleştiğinde daha geniş saldırı zincirlerinin parçası olabiliyor.

Ne yapılmalı?

• FortiSandbox 5.0 cihazlarını 5.0.7 veya üstüne yükseltin.
• 5.2 kullanıyorsanız 5.2.2 sürümünün yayımlanmasını takip edin ve çıkar çıkmaz uygulayın.
• 4.4 hattındaki cihazlar için desteklenen bir sürüme geçiş planı hazırlayın.
• FortiSandbox API'sine yalnızca Security Fabric bileşenlerinin ve yönetim ağının erişebildiğinden emin olun.