Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Amerykańska agencja CISA rozszerzyła katalog Known Exploited Vulnerabilities (KEV) o trzy krytyczne podatności dotyczące Fortinet FortiSandbox oraz Microsoft SharePoint. Taki wpis oznacza, że luki są powiązane z realną aktywnością atakujących i powinny być traktowane jako priorytet w procesie zarządzania podatnościami.
Dla zespołów bezpieczeństwa dodanie do KEV jest wyraźnym sygnałem, że ryzyko nie ma już charakteru wyłącznie teoretycznego. W praktyce oznacza to konieczność natychmiastowej oceny ekspozycji, wdrożenia poprawek i sprawdzenia, czy nie doszło już do kompromitacji.
W skrócie
- Do katalogu KEV trafiły CVE-2026-25089 i CVE-2026-39808 w FortiSandbox oraz CVE-2026-58644 w Microsoft SharePoint.
- Wszystkie trzy podatności otrzymały ocenę krytyczną CVSS 9.8.
- Luki w FortiSandbox dotyczą wstrzyknięcia komend systemowych przez spreparowane żądania HTTP.
- Podatność SharePoint dotyczy deserializacji niezaufanych danych i może prowadzić do zdalnego wykonania kodu.
- Aktywna eksploatacja znacząco skraca czas reakcji wymagany od administratorów i zespołów SOC.
Kontekst / historia
Katalog KEV służy do priorytetyzacji działań naprawczych wobec luk, które zostały już wykorzystane w praktyce. Wpisanie podatności na tę listę zwykle zmienia podejście organizacji z planowego patchowania na tryb pilny, szczególnie gdy chodzi o systemy o wysokim znaczeniu operacyjnym.
W tym przypadku zagrożenie dotyczy dwóch ważnych klas rozwiązań. FortiSandbox pełni rolę platformy analizy podejrzanych plików i obiektów, często działając w newralgicznym punkcie architektury bezpieczeństwa. Microsoft SharePoint pozostaje natomiast jednym z kluczowych elementów współpracy, zarządzania dokumentami i obiegu informacji w wielu środowiskach on-premises.
Kompromitacja takich systemów może mieć skutki wykraczające daleko poza pojedynczy serwer lub urządzenie. Atakujący może uzyskać dostęp do danych, uprzywilejowanych kont, integracji między systemami oraz segmentów sieci, które zwykle są traktowane jako zaufane.
Analiza techniczna
CVE-2026-25089 oraz CVE-2026-39808 dotyczą FortiSandbox i zostały sklasyfikowane jako błędy OS command injection. Oznacza to, że aplikacja nie neutralizuje poprawnie danych wejściowych, co pozwala atakującemu doprowadzić do wykonania nieautoryzowanych poleceń w systemie operacyjnym. Z perspektywy operacyjnej szczególnie istotne jest to, że scenariusz nadużycia opiera się na spreparowanych żądaniach HTTP, co może ułatwiać automatyzację ataków.
W przypadku CVE-2026-58644 problem dotyczy Microsoft SharePoint i mechanizmu deserializacji niezaufanych danych. Tego rodzaju podatności należą do najbardziej niebezpiecznych klas błędów aplikacyjnych, ponieważ mogą umożliwić wykonanie kodu po dostarczeniu odpowiednio przygotowanego ładunku. Jeśli usługa działa z szerokimi uprawnieniami i jest silnie zintegrowana z innymi komponentami środowiska, skala potencjalnych szkód znacząco rośnie.
Wspólnym mianownikiem wszystkich trzech luk jest możliwość przejścia od wejścia kontrolowanego przez atakującego do wykonania kodu lub poleceń na serwerze. Taki scenariusz może prowadzić do trwałej kompromitacji, wdrożenia webshella, eskalacji uprawnień, ruchu lateralnego oraz eksfiltracji danych.
Konsekwencje / ryzyko
Ryzyko biznesowe związane z tymi podatnościami jest wysokie. Skuteczny atak na FortiSandbox może podważyć zaufanie do mechanizmów bezpieczeństwa, które mają służyć do analizy zagrożeń. Przejęcie takiego systemu daje możliwość manipulowania wynikami analizy, ukrywania złośliwych próbek lub wykorzystywania urządzenia jako punktu wyjścia do dalszej penetracji sieci.
W przypadku SharePoint konsekwencje obejmują możliwość przejęcia serwera aplikacyjnego oraz uzyskania dostępu do dokumentów, repozytoriów wiedzy i danych wrażliwych. Jeżeli platforma jest połączona z systemami tożsamości, workflow lub innymi usługami biznesowymi, incydent może szybko rozszerzyć się na kolejne elementy infrastruktury.
Największym czynnikiem ryzyka pozostaje aktywna eksploatacja. Po dodaniu do KEV zwykle rośnie liczba skanowań internetu, prób wykrywania podatnych instancji i oportunistycznych kampanii wykorzystujących opóźnienia w patchowaniu. Organizacje, które nie reagują natychmiast, narażają się na bardzo krótkie okno ekspozycji.
Rekomendacje
Priorytetem powinno być szybkie ustalenie, czy organizacja korzysta z podatnych wersji FortiSandbox lub SharePoint. Należy uwzględnić nie tylko środowiska produkcyjne, lecz także systemy testowe, zapasowe oraz segmenty administracyjne, które często pozostają poza standardową inwentaryzacją.
Kolejnym krokiem powinno być niezwłoczne wdrożenie poprawek producentów lub rekomendowanych obejść, jeśli aktualizacja nie może zostać wykonana od razu. W przypadku systemów krytycznych działania te powinny być realizowane w trybie awaryjnym, a nie w standardowym cyklu utrzymaniowym.
- Ograniczyć dostęp do interfejsów zarządzających wyłącznie z zaufanych sieci i stacji administracyjnych.
- Przeanalizować logi HTTP, aplikacyjne i systemowe pod kątem nietypowych żądań oraz oznak wykonania poleceń.
- Zweryfikować konta uprzywilejowane, tokeny i poświadczenia, które mogły zostać wykorzystane po kompromitacji.
- Uruchomić threat hunting pod kątem RCE, webshelli, zadań utrwalających dostęp i ruchu lateralnego.
- Sprawdzić integralność konfiguracji oraz historię zmian administracyjnych.
- Przygotować plan incident response obejmujący izolację hosta, analizę artefaktów i bezpieczne odtworzenie środowiska.
Podsumowanie
Dodanie CVE-2026-25089, CVE-2026-39808 i CVE-2026-58644 do katalogu KEV należy traktować jako alert najwyższego priorytetu. Mowa o krytycznych lukach umożliwiających wykonanie kodu lub poleceń na systemach o dużym znaczeniu operacyjnym, które już zostały powiązane z aktywną eksploatacją.
Dla organizacji korzystających z FortiSandbox i SharePoint oznacza to konieczność natychmiastowego patchowania, przeglądu ekspozycji oraz aktywnego poszukiwania śladów kompromitacji. Opóźnienie reakcji może przełożyć się na pełne przejęcie systemów, utratę poufności danych i rozszerzenie incydentu na kolejne obszary infrastruktury.
Źródła
- Security Affairs – U.S. CISA adds Fortinet FortiSandbox and Microsoft SharePoint flaws to its Known Exploited Vulnerabilities catalog
- NVD – CVE-2026-58644
- FortiGuard PSIRT – FG-IR-26-100
- Canadian Centre for Cyber Security – Fortinet security advisory (AV26-351) – Update 1
- Microsoft Security Response Center – CVE-2026-58644