Fortinet corrige brechas críticas de autenticação e reforça segurança em seu portfólio
A Fortinet lançou uma rodada importante de atualizações de segurança para três de seus principais produtos – FortiWeb, FortiManager e FortiClient – corrigindo vulnerabilidades graves ligadas diretamente a processos de autenticação e integridade das conexões. As falhas, se exploradas, podem permitir desde o acesso administrativo indevido até execução remota de código em endpoints Windows, impactando diretamente a superfície de ataque de empresas que utilizam a plataforma para proteção de aplicações web, gestão centralizada de firewalls e segurança de estações de trabalho.
A vulnerabilidade mais crítica está catalogada como CVE-2026-26035 e afeta o mecanismo de login do FortiWeb. A falha possui pontuação CVSS variando entre 8,8 e 9,8, dependendo da avaliação, o que a coloca na faixa de alta a crítica severidade. O motivo dessa classificação é a relativa facilidade de exploração em cenários específicos de configuração, em especial quando certas opções não padrão são utilizadas.
Segundo o comunicado da própria Fortinet, o problema está ligado a uma autenticação inadequada (CWE-287) em cenários em que contas de administrador do FortiWeb são configuradas para usar autenticação remota via RADIUS com a opção de “wildcard” habilitada. Nesse modo, em vez de o sistema validar de forma estrita as credenciais do usuário, o appliance pode mapear qualquer nome de usuário autenticado no servidor remoto para um grupo de administradores pré-definido.
Na prática, em determinadas condições, um invasor remoto não autenticado pode conseguir “entrar” na GUI ou na CLI do FortiWeb usando um nome de usuário e senha arbitrários. Em outras palavras, basta explorar a configuração incorreta combinada com a falha de validação para transformar um mecanismo de autenticação externo em uma porta de entrada para acesso administrativo indevido.
O impacto é potencialmente devastador, já que o FortiWeb é frequentemente posicionado na linha de frente, protegendo aplicações web críticas, APIs e serviços expostos à Internet. Um atacante com acesso administrativo poderia alterar políticas de segurança, desativar proteções, criar backdoors ou redirecionar tráfego, comprometendo não apenas o appliance, mas todo o ambiente de aplicações que ele protege.
As versões do FortiWeb afetadas pelo bug incluem as séries 8.0.0 a 8.0.2, 7.6.0 a 7.6.6, 7.4.0 a 7.4.11, 7.2.0 a 7.2.12 e todo o ramo 7.0.x. Para mitigar o risco, a Fortinet liberou atualizações específicas: FortiWeb 8.0.3, 7.6.7, 7.4.12 e 7.2.13. Já para clientes que ainda utilizam a linha legada 7.0, a recomendação é consultar diretamente os canais de suporte para orientação sobre versões suportadas ou caminhos de migração.
Na impossibilidade de aplicar os patches de forma imediata – cenário comum em ambientes altamente regulados ou com janelas de manutenção restritas -, a mitigação sugerida é desabilitar, com urgência, a configuração de wildcard em contas de administrador do tipo remoto. Essa ação pode ser realizada tanto pela interface gráfica (GUI) quanto pela linha de comando (CLI). Embora, até o momento, não haja relatos públicos de exploração ativa da CVE-2026-26035, a Fortinet ressalta que o custo de exploração é considerado baixo, o que torna a correção ou mitigação uma prioridade.
Além do FortiWeb, a empresa também endereçou uma falha relevante no FortiManager, catalogada como CVE-2026-70468, com pontuação CVSS 8,1. Nesse caso, trata-se de um bypass de autenticação via caminho alternativo (CWE-288) envolvendo o protocolo FGFM, utilizado para comunicação e gerenciamento de dispositivos FortiGate. A falha permite que um invasor, de posse de um certificado válido e com acesso a uma opção específica de CLI, consiga se passar por qualquer dispositivo FortiGate gerenciado pelo FortiManager.
Esse tipo de vulnerabilidade é particularmente sensível porque o FortiManager é o cérebro central de muitas infraestruturas, responsável pela orquestração de múltiplos firewalls e appliances de segurança distribuídos. Se um atacante conseguir se fazer passar por um equipamento gerenciado, pode manipular políticas, alterar configurações de rede, injetar regras maliciosas ou desativar funcionalidades críticas em escala, afetando potencialmente dezenas ou centenas de dispositivos de uma só vez.
As versões afetadas incluem FortiManager e FortiManager Cloud 7.6.1, 7.4.3 a 7.4.5 e 7.2.5 a 7.2.9. As correções foram disponibilizadas nas versões 7.6.2, 7.4.6 e 7.2.10. Como boas práticas, além de atualizar, é fundamental revisar o controle de acesso à CLI, o ciclo de emissão e revogação de certificados, e garantir que apenas administradores autorizados tenham capacidade de interagir com o protocolo FGFM em ambientes de produção.
O pacote de correções da Fortinet inclui ainda uma vulnerabilidade de estouro de buffer de alta gravidade no FortiClient para Windows (CVE-2026-70465). Essa falha pode permitir que um atacante não autenticado intercepte ou falsifique respostas DNS, levando à execução de código arbitrário no endpoint vítima. Em termos práticos, um colaborador pode acreditar estar acessando um serviço legítimo, enquanto, na realidade, o tráfego é direcionado a um servidor malicioso preparado para explorar a vulnerabilidade.
Esse tipo de ataque é especialmente perigoso em um cenário de trabalho híbrido, em que endpoints corporativos se conectam tanto a redes internas quanto a redes domésticas ou públicas. Uma estação de trabalho comprometida funciona como um ponto de entrada privilegiado para movimentação lateral na rede, coleta de credenciais, instalação de ferramentas de acesso remoto e, em última instância, para ataques mais complexos como ransomware direcionado.
O contexto dessas correções se insere em um cenário mais amplo de aumento da sofisticação dos ataques. Casos recentes mostram malwares Android combinando funcionalidades de aplicativos de empréstimo com abuso de NFC para drenar contas bancárias, campanhas ativas que exploram falhas críticas em soluções corporativas como VMware vCenter e vulnerabilidades em componentes de sistemas operacionais, como a falha LegacyHive no Windows, já corrigida pela Microsoft. Todas essas ameaças reforçam o papel central de uma estratégia de gestão de vulnerabilidades ágil e contínua.
Ao mesmo tempo, organizações de segurança vêm investindo em governança e conformidade. A conquista de certificações internacionais, como a ISO 27001:2022 para centros de operações de segurança (SOC), sinaliza um amadurecimento na forma como empresas tratam proteção de dados, processos e controles. Para o cliente final, isso se traduz em monitoramento mais rigoroso, resposta a incidentes mais estruturada e maior confiança na capacidade de detecção precoce de comportamento anômalo.
Outro vetor que ganha relevância é o uso de inteligência artificial aplicada à defesa de ativos físicos e digitais. Soluções baseadas em IA já são usadas para identificar padrões atípicos de acesso, apontar configurações frágeis em tempo quase real e correlacionar eventos dispersos em múltiplos sistemas, reduzindo o tempo entre a descoberta de uma brecha e sua correção. Porém, a eficácia desses recursos depende diretamente da qualidade dos dados, da atualização dos sensores e, principalmente, da aplicação rápida de patches quando novas vulnerabilidades são divulgadas.
Para empresas que utilizam FortiWeb, FortiManager e FortiClient, a prioridade imediata deve ser:
1. Inventariar versões em uso e identificar quais appliances e endpoints estão vulneráveis.
2. Planejar e aplicar as atualizações recomendadas (FortiWeb 8.0.3, 7.6.7, 7.4.12, 7.2.13; FortiManager 7.6.2, 7.4.6, 7.2.10; e versões corrigidas do FortiClient para Windows).
3. Implementar as mitigações provisórias, como desabilitar wildcard em contas RADIUS de administrador remoto, caso a atualização não possa ser feita de imediato.
4. Revisar políticas de autenticação, perfis de administrador e uso de certificados, reduzindo privilégios excessivos e limitando acessos à CLI e a protocolos de gestão.
5. Integrar a monitoração desses sistemas ao SOC ou à equipe de segurança interna, garantindo visibilidade sobre tentativas de login suspeitas, alterações de configuração e comportamentos anômalos.
Em paralelo à aplicação dos patches, é recomendável conduzir uma revisão mais ampla da arquitetura de autenticação. Isso inclui avaliar se o uso de métodos remotos (como RADIUS com wildcard) realmente é necessário, se há segregação adequada de funções entre administradores, se existem trilhas de auditoria auditáveis e se a organização adota camadas adicionais de proteção, como autenticação multifator para acesso administrativo.
Por fim, o episódio reforça uma lição recorrente em cibersegurança: vulnerabilidades em mecanismos de autenticação e em canais de gestão têm impacto desproporcional quando comparadas a outros tipos de falhas. Elas afetam diretamente a confiança na infraestrutura de controle, tanto no perímetro (como no FortiWeb), quanto na camada de orquestração (FortiManager) e no endpoint (FortiClient). Manter esses componentes atualizados, configurados de forma conservadora e constantemente monitorados é essencial para reduzir a superfície de ataque e mitigar o risco em um cenário marcado pela verdadeira “pandemia da fraude digital”.