Fortinet FortiSandboxの重大な脆弱性が攻撃に悪用される（CVE-2026-39813、CVE-2026-39808、CVE-2026-25089）

nosa

2026.06.17

Fortinet FortiSandboxの重大な脆弱性が攻撃に悪用される（CVE-2026-39813、CVE-2026-39808、CVE-2026-25089）

BleepingComputer – June 16, 2026

脅威インテリジェンス企業Defusedにより、Fortinetのサイバー脅威検知プラットフォームFortiSandboxに存在する3件の重大な脆弱性が攻撃に悪用されていることがわかった。

これらの脆弱性は、それぞれCVE-2026-39813、CVE-2026-39808、CVE-2026-25089として追跡されているもの。ユーザー操作を必要としない、複雑度の低いコマンドインジェクション攻撃を通じて、未認証の攻撃者にリモートでの権限昇格や不正なコード実行を許す恐れがあるという。

Fortinetは4月14日にCVE-2026-39813およびCVE-2026-39808の、6月9日にCVE-2026-25089のセキュリティアップデートを公開しており、最新バージョンへアップグレードするよう呼びかけている。同社は先月にも、FortiSandboxの別の脆弱性（CVE-2026-26083）に対処するアップデートをリリースしていた。

Fortinetの脆弱性は、ランサムウェア攻撃やサイバー諜報活動において（主にゼロデイ脆弱性として）頻繁に悪用されてきた。近年に悪用が確認された26件のうち、ランサムウェアグループに不正使用されたものは13件を数える。

デイリーサイバーアラート

Silobreaker-CyberAlert

脆弱性

Fortinet、悪用確認の脆弱性含む複数製品の脆弱性について注意喚起（CVE-2025-61624ほか）

佐々山 Tacos

2026.04.15

Silobreaker-CyberAlert

脆弱性

デイリーサイバーアラート

Silobreaker-CyberAlert

脆弱性

Fortinet、FortiSandboxとFortiAuthenticatorの重大なRCE脆弱性について警告（CVE-2026-44277、CVE-2026-26083）

nosa

2026.05.13

Silobreaker-CyberAlert

脆弱性

FIFA内部システムにバグ、W杯のテレビ配信を自由に改変できる状態に

TechCrunch – June 16, 2026

あるセキュリティ研究者がシステム上の単純な欠陥を利用し、複数のFIFA内部プラットフォームにアクセスしただけでなく、ワールドカップ全試合のテレビ映像を視聴したり、配信を完全に制御したりすることができたと明かした。

ハンドルネーム「BobDaHacker」として活動するこの研究者は、FIFA公式エージェント登録プラットフォームに選手エージェントとして登録しただけだと説明。そのアカウントに加え、ユーザーが適切な認証を受けているかどうかをチェックしないバックエンドAPIの欠陥により、複数の内部プラットフォームにアクセスできたと主張している。

BobDaHacker氏が16日に公開したブログ記事によると、世界中に配信または実況解説者の画面に表示される映像を制御するために放送局が使用するシステムにもアクセス可能だったとのこと。つまりたった1人の攻撃者がすべてのカメラを同時に乗っ取ることも、ワールドカップをリックロール（説明とは異なる内容のリンクを貼るいたずら行為）に使うことも可能だったとされる。

この欠陥は日本時間16日夜にBobDaHackerから報告され、数時間以内にFIFAが修正したとみられるが、研究者の報告を受けたことについては一切言及されていない模様。FIFAはTechCrunchのコメント要請にも応じていないようだ。