CERT Polska poinformował 10 czerwca o krytycznej podatności CVE-2026-25089 w FortiSandbox, która według komunikatu pozwala nieuwierzytelnionemu atakującemu zdalnie wykonać kod. Ostrzeżenie obejmuje wybrane wersje FortiSandbox, Cloud i PaaS oraz wskazuje wydania z poprawką. Dla organizacji to dobry moment, żeby urządzenia i usługi ochronne objąć tym samym przeglądem ekspozycji, któremu podlegają systemy biznesowe.

Wyobraź sobie biurowiec, w którym ochrona codziennie sprawdza identyfikatory przy wejściu, a nikt nie sprawdza zamka w drzwiach do samej dyżurki ochrony. Recepcja ma procedury, kamery i listę gości, lecz pomieszczenie, z którego się tym wszystkim zarządza, pozostaje poza zakresem kontroli. Ta analogia nie opisuje żadnej konkretnej organizacji. Dobrze jednak oddaje pytanie, które stawia komunikat CERT Polska z 10 czerwca: czy narzędzie, które ma wykrywać zagrożenia, samo trafia do rejestru zasobów wymagających łatania i oceny dostępu z sieci? Jeśli w Twojej firmie odpowiedź brzmi „sandbox kupił dział bezpieczeństwa, więc jest bezpieczny”, to właśnie ta odpowiedź wymaga sprawdzenia dziś.

Brak uwierzytelnienia wyznacza wagę luki CVE-2026-25089

Jak podaje CERT Polska, podatność CVE-2026-25089 umożliwia zdalne wykonanie kodu przez atakującego, który nie musi się uwierzytelnić. W praktyce oznacza to, że do próby ataku nie są potrzebne login ani hasło do FortiSandbox. Wystarczy możliwość nawiązania połączenia z podatną usługą.

Ten jeden warunek przesuwa ciężar oceny ryzyka. Silne hasła administratorów i uwierzytelnianie wieloskładnikowe nie chronią przed luką, która omija logowanie. Pytanie brzmi więc, kto i skąd może dotrzeć do usługi FortiSandbox w Twojej sieci. Odpowiedź na nie nie zmienia terminu: poprawkę trzeba zainstalować niezwłocznie. Pokazuje za to, gdzie ryzyko jest największe do czasu jej wdrożenia.

Komunikat dotyczy wybranych wersji FortiSandbox, Cloud i PaaS. Nie każda instalacja jest więc objęta ostrzeżeniem, ale każda wymaga sprawdzenia numeru wydania i porównania go z listą w komunikacie CERT Polska, który wskazuje również wersje poprawione.

Przy luce, która nie wymaga logowania, o ryzyku decyduje przede wszystkim to, kto może połączyć się z usługą.

Narzędzia ochronne często wypadają z cyklu aktualizacji

Systemy bezpieczeństwa łatwo potraktować jako infrastrukturę, która chroni innych i sama nie potrzebuje nadzoru. Procedura może przewidywać, że wszystkie systemy podlegają temu samemu harmonogramowi poprawek, a praktyka może wyglądać inaczej, jeśli rejestr zasobów nie obejmuje narzędzi ochronnych. Nie wiemy, jak wygląda to w organizacjach korzystających z FortiSandbox, bo źródło tego nie opisuje. Zadaj je jednak u siebie i porównaj zapis w procedurze ze stanem rejestru.

Trzy odmiany wymienione przez CERT Polska, czyli FortiSandbox, Cloud i PaaS, pokazują dodatkową trudność. Komunikat nie opisuje, jak w poszczególnych odmianach rozkłada się obowiązek instalacji poprawki. Tego trzeba więc dowiedzieć się samodzielnie, z dokumentacji wdrożenia i umowy z dostawcą usługi. Przegląd po komunikacie z 10 czerwca powinien objąć ustalenie, kto w danym modelu instaluje poprawione wydanie i jak potwierdza jego wdrożenie.

Komunikat nie zawiera informacji o aktywnym wykorzystaniu CVE-2026-25089. Brak takiej informacji nie oznacza, że luki nie wykorzystano, i nie uzasadnia odkładania poprawki.

FortiSandbox powinien mieć w rejestrze zasobów właściciela, wersję i termin aktualizacji, tak jak każdy serwer aplikacji biznesowej.

Zarząd powinien pytać o ekspozycję systemów bezpieczeństwa

Z perspektywy zarządczej CVE-2026-25089 to dobry pretekst do jednego pytania: czy nasz rejestr ekspozycji obejmuje narzędzia ochronne? Jeżeli raport o podatnościach wymienia tylko aplikacje biznesowe, zarząd widzi niepełny obraz. Krytyczna luka w elemencie ochrony nie trafi wtedy na listę pilnych spraw, choć według CERT Polska pozwala na zdalne wykonanie kodu bez logowania.

Koszt reakcji na tę podatność nie wynika z komunikatu i zależy od środowiska. Zamiast zgadywać, poproś zespół o krótkie oszacowanie: ile instalacji FortiSandbox działa w firmie, w jakich odmianach i ile czasu zajmie przejście na wydania wskazane przez CERT Polska. Odpowiedzialność przypisz imiennie, bo narzędzia kupione przez dział bezpieczeństwa i utrzymywane przez dział IT łatwo zostają bez gospodarza.

CERT Polska daje krajowym zespołom podstawę do działania

Dla polskich organizacji punktem odniesienia jest komunikat CERT Polska z 10 czerwca 2026 roku. To otwarty dokument pierwotny, który można dołączyć do zlecenia przeglądu i na który można się powołać w rozmowie z dostawcą usługi. Na dzień 11 czerwca nie mamy niezależnego potwierdzenia medialnego ani informacji o skali zagrożenia w Polsce, więc nie przypisujemy luce zasięgu, którego źródło nie podaje.

Komunikat wskazuje poprawione wydania, co upraszcza zadanie administratorów. Wiadomo, do której wersji trzeba przejść, a ocena własnej instalacji obejmuje porównanie numeru wydania, sprawdzenie, skąd można połączyć się z usługą, oraz, przy odmianach Cloud i PaaS, ustalenie, kto instaluje poprawkę.

Co z tym zrobić w poniedziałek

  1. Spisz wszystkie instalacje FortiSandbox. Ustal, które działają we własnej infrastrukturze, a które jako Cloud lub PaaS. Przy każdej zapisz wersję i osobę odpowiedzialną za aktualizację, a następnie porównaj wersje z listą w komunikacie CERT Polska.
  2. Sprawdź, skąd można się połączyć z usługą. Dla każdej instalacji ustal, czy usługa jest dostępna z internetu lub z szerokich segmentów sieci wewnętrznej. Ponieważ CVE-2026-25089 nie wymaga uwierzytelnienia, ograniczenie dostępu wprowadź równolegle z aktualizacją, jako zabezpieczenie tymczasowe do czasu jej wdrożenia.
  3. Dopisz narzędzia ochronne do rejestru ekspozycji. Przejrzyj listę systemów objętych przeglądem podatności i dodaj do niej sandboxy oraz inne urządzenia i usługi bezpieczeństwa, które dziś są poza nią. Wyznacz dla nich ten sam termin łatania krytycznych luk co dla aplikacji biznesowych.

Narzędzie obrony podlega tym samym prawom co każde inne oprogramowanie: ma wersje, podatności i poprawki. CVE-2026-25089 przypomina, że poziom zaufania do systemu nie zwalnia go z kontroli. Organizacja, która mierzy ekspozycję tylko tam, gdzie spodziewa się ataku, zostawia bez nadzoru te systemy, które mają ją przed atakiem chronić.

Źródła

Redakcja cyberinsight.pl.