• admin@kibc
• 9 września 2026
• Brak komentarzy

Systemy typu sandbox od lat uchodzą za jeden z filarów ochrony sieci firmowych. Ich rola jest prosta w założeniu: podejrzany plik trafia najpierw do izolowanego środowiska, gdzie można bezpiecznie sprawdzić, co właściwie robi, zanim dostanie zielone światło do reszty infrastruktury. Problem zaczyna się wtedy, gdy narzędzie mające chronić przed atakami samo okazuje się furtką dla intruzów – a dokładnie z takim scenariuszem mamy teraz do czynienia.

CSIRT CeZ wydał ostrzeżenie dotyczące poważnych luk bezpieczeństwa w urządzeniach FortiSandbox oraz FortiAuthenticator. Poniżej wyjaśniamy, na czym polega problem i co warto zrobić już teraz, żeby nie stać się kolejną statystyką w raportach o incydentach.

Na czym polega zagrożenie

Fortinet opublikował biuletyny bezpieczeństwa opisujące krytyczne podatności w oprogramowaniu układowym rodziny FortiSandbox. Według informacji przekazanych przez CSIRT CeZ i CERT Polska, luka otrzymała bardzo wysoką ocenę w skali CVSS – mówimy więc o zagrożeniu najwyższej kategorii. W praktyce oznacza to, że osoba atakująca z zewnątrz może wykonać nieautoryzowane działania na urządzeniu, a nawet przejąć nad nim pełną kontrolę – i to bez wcześniejszego logowania się do systemu.

Co czyni tę sytuację szczególnie niebezpieczną?

– Zero wymagań co do uwierzytelnienia – atakujący nie musi znać żadnego hasła ani mieć konta w panelu administracyjnym.
– Wystarczy dostęp sieciowy – nie trzeba żadnych zaawansowanych technik, sam kontakt z podatnym interfejsem otwiera drogę do ataku.
– Centralna pozycja urządzenia w sieci – FortiSandbox zwykle analizuje ruch pochodzący z najważniejszych punktów organizacji: poczty, firewalli, stacji roboczych. Kto przejmie piaskownicę, ten zyskuje wgląd praktycznie w całą architekturę IT firmy.

Kogo to dotyczy

Problem obejmuje zarówno urządzenia fizyczne, jak i instancje chmurowe FortiSandbox działające na starszych wersjach systemu operacyjnego. Jeżeli w Twojej organizacji funkcjonuje wdrożenie On-Premise albo Cloud/PaaS, koniecznie zweryfikuj, na jakiej wersji oprogramowania obecnie pracujesz.

Producent wskazuje jasno, do jakich wersji trzeba się zaktualizować. W przypadku FortiSandbox bezpieczne są wersje 5.0.2, 4.4.9 lub nowsze (w zależności od gałęzi rozwojowej). Warto sprawdzić też powiązane produkty, np. FortiAuthenticator – tam rekomendowane są wersje 8.0.3, 6.6.9 lub 6.5.7.

Zbagatelizowanie takiego ostrzeżenia to prosta droga do wycieku danych, infekcji ransomware albo poważnego przestoju operacyjnego. Zespoły administracyjne i SecOps powinny wziąć na warsztat kilka rzeczy:
– Aktualizacja bez zwłoki. To jedyne rozwiązanie, które faktycznie usuwa problem u źródła. Sprawdź macierz kompatybilności wersji i wdroż poprawki od Fortinetu tak szybko, jak to możliwe.
– Odcięcie panelu administracyjnego od internetu. Interfejs zarządzający nie powinien być publicznie dostępny. Najlepiej ograniczyć do niego dostęp wyłącznie do wydzielonej sieci zarządzającej (VLAN) albo połączenia VPN z restrykcyjną kontrolą uprawnień.
– Przegląd logów wstecz. Sprawdź historię zdarzeń i ruch sieciowy pod kątem czegokolwiek podejrzanego – nietypowe restarty usług, próby połączeń z nieznanymi adresami IP i tym podobne sygnały mogą wskazywać, że ktoś już próbował wykorzystać lukę.
– Ograniczone zaufanie jako standard. Zweryfikuj, jakie uprawnienia FortiSandbox ma w Twojej sieci, i zadbaj o to, by urządzenie było odseparowane od kluczowych zasobów – baz danych, kontrolerów domeny itd. Zasada minimalnych uprawnień sprawdza się tu najlepiej.