文章总结： Fortinet设备近期连续爆出三个CVSS9.1分高危漏洞（CVE-2026-39813路径穿越、CVE-2026-39808命令注入、CVE-2026-25089未授权RCE），黑客利用组合攻击实现免认证远程代码执行。威胁情报显示攻击样本中出现AI生成的漏洞利用代码，虽存在缺陷但标志攻击进入AI武器化阶段。防御建议包括：立即升级补丁、禁止管理界面公网暴露、配置WAF/IDS规则检测异常路径和命令字符。 综合评分： 85 文章分类： 漏洞预警,应急响应,威胁情报,解决方案,网络安全

安全预警！Fortinet连爆三大9.1分漏洞，黑客竟用AI写Exp？

原创

Kit Chung Kit Chung

安全圈动向

2026年6月23日 08:14 广东

在小说阅读器读本章

去阅读

大家好，今天咱们直奔主题，因为安全圈又炸锅了。最近这段时间，Fortinet（飞塔）的设备简直成了黑客眼里的“香饽饽”。如果你手里也有在管的飞塔设备，听我一句劝，看完这篇文章立马去查补丁！

根据威胁情报公司 Defused Cyber 的最新监控数据，在过去的短短24小时内，黑客组织正在全网疯狂对 Fortinet FortiSandbox（沙盒）发起猛烈攻击。

这次可不是什么小打小闹，黑客手里捏着的是三个CVSS评分高达 9.1 的高危漏洞组合拳！更让我觉得细思极恐的是，在野捕捉到的最新攻击样本中，竟然还发现了AI自动生成漏洞利用代码（Exploit）的痕迹。

今天咱们就来硬核拆解一下，这三个漏洞到底是怎么回事，以及攻击者是如何完美实现“免授权RCE（远程命令执行）”的。

老树开新花：路径穿越与命令注入的组合技

首先咱们来看看已经被疯狂利用的两个“老面孔”—— CVE-2026-39813 和 CVE-2026-39808。这两个漏洞其实 Fortinet 在今年4月份就已经发过补丁了，但现实情况大家懂的，很多企业的补丁管理总是慢半拍，这就给黑客留下了巨大的“时间差”。

1. CVE-2026-39813：API 路径穿越漏洞

这个漏洞出在 FortiSandbox 的 JRPC API 接口上。咱们搞渗透和代码审计的师傅都知道，路径穿越（Path Traversal）往往是打点突破、撕开防线的第一步。

攻击者通过构造极其特殊的 HTTP 请求，利用类似于 ../ 这样的字符组合跳出 Web 根目录的限制。在这里，它的核心危害在于允许未经身份验证的攻击者直接绕过认证机制，相当于大门直接给黑客敞开了。

2. CVE-2026-39808：操作系统命令注入

配合着前者的认证绕过，这个漏洞直接让攻击达到了高潮。在未经授权的情况下，攻击者通过恶意的 HTTP 请求，将底层操作系统命令拼接到正常的参数中进行执行。

💡 技术视角硬核拆解： 这两个漏洞的组合是一次非常典型的 Auth Bypass → RCE（认证绕过升级为远程命令执行） 攻击路径。攻击者不需要任何账号密码，只需要向暴露在公网的 FortiSandbox 发送一段精心构造的 Payload，就能在底层操作系统上执行任意代码，直接拿下服务器的最高控制权。

活久见系列：用AI写Exp，虽然“翻车”了……

如果说前面两个漏洞还在咱们的传统安全认知范围内，那接下来这个上周刚被 Fortinet 紧急修复的新漏洞 CVE-2026-25089（同样是 9.1 分）就非常有赛博朋克的味道了。

这是一个影响非常广泛的操作系统命令注入漏洞，通杀 FortiSandbox、FortiSandbox Cloud 以及 FortiSandbox PaaS WEB UI。只要有 Web 界面暴露，未经身份验证的攻击者就能通过特定 HTTP 请求执行未授权命令。

⚠️ 威胁情报核心细节提示

Defused Cyber 在分析在野攻击流量时披露了一个非常关键的细节：在捕获到的针对 CVE-2026-25089 的攻击中，黑客使用的 Exp 带有明显的“AI大模型生成”特征，而且……这代码居然是有 Bug 的（Faulty）！

目前，这个漏洞真正完美可用的 Exp 还没有在地下论坛完全公开。这背后暴露出两个极具风向标意义的信号：

• 黑客正在深度拥抱 AI：

  攻击者正在利用 ChatGPT 或类似的大语言模型（LLM）来加速漏洞武器化过程，试图在补丁发布的“黄金窗口期”内，快速批量生成全自动扫描脚本。

• 当前的 AI 搞安全还不够完美：

  大模型在处理复杂的、特定于固件版本的闭源系统内存或底层架构时，仍然存在“幻觉”或者逻辑缺陷，导致生成的 Payload 结构可能存在语法错误，无法直接打通。

但这绝对是一个极其危险的信号。一旦黑客人工微调、调试好了这段 AI 生成的代码，全网的自动化、智能化扫描攻击将会呈现指数级增长。网络安全对抗，已经正式进入 AI 时代。

历史重演：网络边界设备沦为重灾区

近年来，Fortinet 设备频频暴雷，已经成为 APT 组织和勒索软件眼里的“唐僧肉”。大家应该还记得今年4月份，Fortinet 发布紧急带外补丁修复的那起关键安全漏洞吧？

当时影响 FortiClient EMS 的 CVE-2026-35616（同样高达 9.1 分），在野外也是被利用得风生水起。边界防护设备由于直接暴露在公网，且往往拥有极高的系统权限，一旦失陷，就会成为黑客横向渗透企业内网的绝佳跳板。

防御建议：别等裸奔被黑了才想起来看！

作为安全从业者或者运维同学，面对这种级别的全网扫描威胁，我在这里给大家提几点最实在、能立刻落地的防御建议：

• 1. 绝不盲目公网暴露：

  绝对、千万不要把管理后台或 Web UI 毫无保护地暴露在公网上！强烈建议利用防火墙策略或白名单机制，只允许信任的内部 IP 或 VPN 段进行访问。

• 2. 立刻升级打补丁：

  请立即去 Fortinet 官网对照受影响版本，将你们的 FortiSandbox 升级到官方最新安全版本。既然 4 月和上周都已经发布了对应的修复方案，千万别拖，立刻安排变更窗口。

• 3. 升级 WAF/IDS 规则：

  在 WAF 或流量监控设备上，及时添加针对这几个新 CVE 的特征规则。重点关注 HTTP 请求中异常的 URI 路径遍历字符，以及疑似 shell 命令拼接的特殊字符（如 |、;、$() 等）。

技术在进步，黑客的工具箱里也装进了 AI。作为防守方，我们能做的就是跑得比他们更快一点。

如果你觉得这篇文章对你有帮助，欢迎点个“赞”、“在看”或分享给更多圈内好友！

Fortinet漏洞 #AI网络攻击 #无授权RCE #网络安全应急

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈动向 Kit Chung Kit Chung《安全预警！Fortinet连爆三大9.1分漏洞，黑客竟用AI写Exp？》