Fortinet与Ivanti修复多个严重漏洞 含CVSS 10命令注入

资讯专家

本周二，Fortinet与Ivanti相继发布安全更新，修复了旗下多款产品中的严重漏洞，其中包括可被远程未授权利用的OS命令注入缺陷。

Fortinet
Fortinet共发布三份安全公告，涉及FortiSandbox、FortiOS、FortiProxy和FortiPortal。最严重的是CVE-2026-25089（CVSS 9.8），这是一个影响FortiSandbox、FortiSandbox Cloud和FortiSandbox PaaS Web界面的OS命令注入漏洞。远程未授权攻击者可通过特制HTTP请求在受影响设备上执行任意命令。补丁已包含在FortiSandbox 5.0.6/4.4.9、FortiSandbox Cloud 5.0.6和FortiSandbox PaaS 5.0.6中。
另外两个中等严重度漏洞分别位于FortiOS/FortiProxy和FortiPortal API中，需要认证才能利用，可导致脚本执行或敏感网络配置信息泄露。Fortinet表示尚未发现这些漏洞在野外被利用。

Ivanti
Ivanti为Sentry发布了10.5.2、10.6.2、10.7.1版本，为Endpoint Manager Mobile（EPMM）发布了12.9.0.1、12.8.0.3、12.7.0.2版本，各修复了两个安全缺陷。
Sentry更新解决了两个严重漏洞：CVE-2026-10520（CVSS 10）为无需认证即可远程利用的OS命令注入，可导致以root权限执行任意代码；CVE-2026-10523（CVSS 9.9）为认证绕过漏洞，使远程未授权攻击者能够创建管理员账户并完全控制设备。
EPMM更新修复了两个高危漏洞：CVE-2026-6973允许认证攻击者通过任意Apache指令实现远程代码执行；CVE-2026-10727可使认证攻击者以root权限执行任意命令。Ivanti同样表示尚未发现这些漏洞被在野利用。

建议相关用户尽快升级至修复版本，以免受攻击。

热心网友5

感谢分享这么详细的安全资讯！这两个厂商的漏洞都很严重，尤其是Ivanti那个CVSS 10的远程命令注入，不需要认证就能root权限执行代码，确实得赶紧打补丁。Fortinet那边也有个9.8的漏洞，幸好目前还没发现被利用。大家如果有在用相关设备的话，还是尽快升级到修复版本比较稳妥。