Ir para o conteúdo
Todos os artigos

· por NetProtector Security Team

Fortinet: vulnerabilidade no FortiCloud SSO afeta também FortiGates já corrigidas

Ilustração: uma chave de autenticação vinda da cloud abre as fechaduras de várias firewalls de terceiros, surgem novas contas de administrador

Quem regista a sua FortiGate no FortiCare ativa muitas vezes, quase sem dar por isso, uma funcionalidade cómoda: o início de sessão de administrador através do Single Sign-On do FortiCloud. Foi precisamente por esta via que, recentemente, atacantes conseguiram autenticar-se como administrador em firewalls de terceiros – incluindo dispositivos que tinham instalado todas as atualizações de dezembro. A Fortinet publicou a vulnerabilidade CVE-2026-24858 a 27 de janeiro de 2026 e a agência norte-americana CISA incluiu-a, no mesmo dia, no seu catálogo de vulnerabilidades ativamente exploradas.

Do que se trata

O FortiCloud SSO permite iniciar sessão diretamente na interface de gestão de uma FortiGate registada com a conta FortiCloud. De fábrica, a funcionalidade está desativada. No entanto, é ativada durante o registo do dispositivo, a menos que o administrador desative explicitamente a opção „Allow administrative login using FortiCloud SSO“. O erro: um atacante com a sua própria conta FortiCloud e o seu próprio dispositivo registado conseguia, desta forma, iniciar sessão também em dispositivos pertencentes a outras contas.

Os dados principais segundo o advisory da Fortinet FG-IR-26-060 de 27 de janeiro de 2026:

  • Gravidade: crítica, CVSS 9.8 no advisory atual. Nos primeiros relatos falava-se em 9.4 – trata-se do valor temporal, que tem em conta o estado da exploração e da correção.
  • Afetados: FortiOS 7.0 a 7.6 (até 7.6.5, 7.4.10, 7.2.12 e 7.0.18, inclusive), bem como FortiProxy 7.0 a 7.6. Também são afetados o FortiManager, o FortiAnalyzer, o FortiWeb e o FortiSwitchManager. O FortiOS 8.0 e 6.4 não são afetados – tal como as instalações que utilizam um fornecedor de identidade próprio, como o FortiAuthenticator.
  • Corrigido em: FortiOS 7.6.6, 7.4.11, 7.2.13 e 7.0.19, ou FortiProxy 7.6.5, 7.4.13, 7.2.16 e 7.0.23. As atualizações foram disponibilizadas de forma faseada nos dias seguintes ao advisory.
  • Pré-requisito para o ataque: uma conta FortiCloud com um dispositivo registado do lado do atacante e o início de sessão FortiCloud SSO ativado no dispositivo-alvo. O atacante não precisa das credenciais da vítima.
  • Consequência: acesso de administrador à firewall – e, com isso, à sua configuração, às suas contas e às suas definições de VPN.

Porque é urgente

A vulnerabilidade tem antecedentes. A 9 de dezembro de 2025, a Fortinet tinha publicado duas outras falhas na mesma funcionalidade, CVE-2025-59718 e CVE-2025-59719. Foram detetadas numa revisão interna de código, mas começaram a ser ativamente exploradas poucos dias depois – a CISA passou a listar a CVE-2025-59718 como explorada a partir de 16 de dezembro. Quem atualizou rapidamente nessa altura podia sentir-se seguro.

No entanto, a partir de 15 de janeiro de 2026, a empresa de segurança Arctic Wolf observou uma nova vaga de ataques automatizados: inícios de sessão via FortiCloud SSO, seguidos imediatamente do download da configuração da firewall, da criação de contas de administrador adicionais com nomes discretos como „secadmin“ ou „support“ e de alterações que concedem acesso VPN a essas contas. Tudo em poucos segundos. Foram também afetados dispositivos totalmente corrigidos – a Fortinet confirmou que estava a ser utilizado um novo vetor de ataque.

A Fortinet bloqueou as duas contas FortiCloud utilizadas indevidamente, desativou a 26 de janeiro o início de sessão FortiCloud SSO do lado da cloud para todos os clientes e reativou-o um dia depois – agora sem suporte para versões vulneráveis. Trata-se de uma medida invulgarmente abrangente, que protegeu também os dispositivos não corrigidos contra novos inícios de sessão por esta via. Para os dispositivos já comprometidos, porém, chegou tarde demais: as contas criadas e as configurações extraídas permanecem.

É precisamente isso que torna o caso delicado. Uma configuração exportada contém os hashes de palavras-passe, que podem ser quebrados offline. E uma conta de administrador criada localmente continua a funcionar, mesmo depois de a vulnerabilidade do SSO ter sido corrigida há muito. Nas suas publicações, a Fortinet e a Arctic Wolf não atribuíram os ataques a nenhum grupo específico.

O que deve fazer agora

  1. Atualizar. Instale no FortiOS, no mínimo, a versão 7.6.6, 7.4.11, 7.2.13 ou 7.0.19 e, no FortiProxy, as versões indicadas acima. Verifique também o FortiManager, o FortiAnalyzer, o FortiWeb e o FortiSwitchManager com base no advisory.
  2. Verificar o início de sessão FortiCloud SSO. Se não precisar da funcionalidade, desative-a em System > Settings („Allow administrative login using FortiCloud SSO“) ou através da CLI com set admin-forticloud-sso-login disable em config system global.
  3. Restringir o acesso de gestão. A interface de administração não deve estar livremente acessível a partir da Internet. A Fortinet recomenda um acesso de gestão separado ou, pelo menos, uma Local-in-Policy que apenas permita endereços IP conhecidos.
  4. Verificar logs e contas. Procure inícios de sessão SSO a partir de contas desconhecidas, configurações descarregadas e contas de administrador que ninguém criou intencionalmente. No seu advisory, a Fortinet indica contas e endereços IP como indicadores – mas os nomes mudaram ao longo dos ataques, por isso verifique todas as contas.
  5. Em caso de suspeita, trate o dispositivo e a sua configuração como comprometidos: remova contas desconhecidas e alterações de VPN ou reponha uma configuração limpa e redefina todas as credenciais – incluindo as de contas LDAP ou AD associadas.

O que isto significa para a proteção de firewalls

O caso evidencia um problema que afeta todo o setor e não apenas um fabricante: a firewall é o dispositivo que deve proteger a rede e, ao mesmo tempo, um dos alvos mais apetecíveis dentro dela. Cada funcionalidade acessível a partir do exterior – portal VPN, interface de gestão, início de sessão na cloud – é um possível ponto de entrada. E, como neste caso, pode decorrer um intervalo de dias entre os primeiros ataques e a correção definitiva, durante o qual mesmo dispositivos cuidadosamente mantidos ficam expostos.

O NetProtector complementa a firewall neste ponto com uma camada adicional. O appliance é instalado em linha à frente da firewall e inspeciona o tráfego antes de este chegar à firewall:

  • Fontes de ataque conhecidas ficam de fora. Quem sonda em massa firewalls na Internet à procura de vulnerabilidades raramente o faz apenas num alvo. Os endereços que a rede de sensores do NetProtector já observou nestas atividades são bloqueados antes sequer de contactarem o seu dispositivo.
  • Padrões invulgares tornam-se visíveis. Varrimentos sistemáticos à procura de interfaces de gestão, tentativas de início de sessão acumuladas ou acessos a um ritmo que nenhum ser humano produz são anomalias que o NetProtector deteta e reporta.
  • Mais margem até à atualização. O NetProtector não corrige vulnerabilidades na firewall – isso só a correção pode fazer. Mas reduz o número de atacantes que conseguem sequer chegar à firewall no período crítico entre a divulgação e a atualização.
Anomalias no tráfego – padrões através da rede de sensores
Tráfego normal Anomalia no tráfego Padrão detetado entre sensores

Na página Como funciona o NetProtector mostramos como o NetProtector deteta estes padrões e como se integra entre o router e a firewall sem alterações à rede.

A nossa avaliação

A Fortinet reagiu de forma rápida e consequente – desativar sem hesitação o início de sessão na cloud para todos foi um passo incómodo, mas eficaz. Ainda assim, o caso é instrutivo: funcionalidades de conveniência, como um início de sessão na cloud, aumentam a superfície de ataque, muitas vezes sem que alguém se aperceba. E uma atualização corrige a vulnerabilidade, mas não elimina o que os atacantes deixaram para trás. Uma boa proteção começa, por isso, com a pergunta sobre quais as funcionalidades que uma firewall precisa realmente de disponibilizar para o exterior – e prossegue com atualizações rápidas, o controlo de contas e logs e uma camada de proteção à frente da firewall que interceta os atacantes antes de estes sequer poderem tentar.

Fontes