Fortinet

A Fortinet, empresa multinacional de cibersegurança, enfrenta ataques digitais há cinco anos, com foco em uma vulnerabilidade no sistema FortiOS, que compromete a autenticação de dois fatores (2FA) e os firewalls da companhia. A falha foi inicialmente identificada na VPN FortiGate e permite que hackers acessem contas legítimas sem ativar o segundo fator de autenticação, utilizando uma simples alteração no nome de usuário, como mudar a primeira letra de minúscula para maiúscula. Essa vulnerabilidade se agrava devido a uma má configuração do sistema, onde a autenticação local não diferencia letras maiúsculas e minúsculas, resultando em acessos não autorizados. Apesar das atualizações lançadas pela Fortinet e recomendações para desativar a diferenciação de letras, os ataques continuam a ser uma preocupação constante. Em abril de 2021, autoridades alertaram sobre o uso do FortiOS para atacar governos, destacando a gravidade da situação. A exploração contínua dessa falha representa um risco significativo para empresas que utilizam as soluções da Fortinet, especialmente em um cenário onde vulnerabilidades de dia zero são comuns.

A Fortinet alertou sobre a exploração ativa de uma vulnerabilidade de cinco anos, identificada como CVE-2020-12812, que afeta o FortiOS SSL VPN. Essa falha de autenticação inadequada permite que usuários loguem sem serem solicitados a fornecer um segundo fator de autenticação, caso a combinação de letras do nome de usuário seja alterada. O problema ocorre quando a autenticação de dois fatores (2FA) está habilitada em configurações específicas, como quando o método de autenticação é remoto (por exemplo, LDAP). A vulnerabilidade foi identificada como uma falha de correspondência sensível a maiúsculas e minúsculas entre autenticações locais e remotas. A Fortinet recomenda que as organizações atualizem para as versões mais recentes do FortiOS e desativem a sensibilidade a maiúsculas nos nomes de usuário para mitigar o risco. A falha já foi explorada por diversos agentes de ameaça, e o governo dos EUA a incluiu em sua lista de vulnerabilidades críticas em 2021. As empresas que utilizam o FortiOS devem agir rapidamente para evitar que usuários administrativos ou de VPN sejam autenticados sem 2FA.

Recentemente, foram identificadas duas falhas de segurança críticas em dispositivos Fortinet FortiGate, que estão sendo ativamente exploradas por agentes maliciosos. As vulnerabilidades, identificadas como CVE-2025-59718 e CVE-2025-59719, possuem uma pontuação CVSS de 9.8, indicando seu alto nível de gravidade. A empresa de cibersegurança Arctic Wolf relatou que, desde 12 de dezembro de 2025, logins maliciosos utilizando autenticação de login único (SSO) têm sido realizados em dispositivos FortiGate, aproveitando-se dessas falhas. As vulnerabilidades permitem que atacantes contornem a autenticação SSO através de mensagens SAML manipuladas, especialmente se o recurso FortiCloud SSO estiver ativado. Embora essa funcionalidade esteja desativada por padrão, ela é ativada automaticamente durante o registro no FortiCare, a menos que os administradores a desativem manualmente. Os atacantes têm utilizado endereços IP de provedores de hospedagem específicos para realizar logins na conta ‘admin’ e exportar configurações de dispositivos. Diante da exploração ativa, é crucial que as organizações apliquem os patches disponibilizados pela Fortinet e desativem o FortiCloud SSO até que as atualizações sejam implementadas.

Recentemente, Fortinet, Ivanti e SAP lançaram atualizações para corrigir vulnerabilidades críticas em seus produtos que poderiam permitir a execução de código e a bypass de autenticação. As falhas da Fortinet, identificadas como CVE-2025-59718 e CVE-2025-59719, afetam o FortiOS, FortiWeb, FortiProxy e FortiSwitchManager, com uma pontuação CVSS de 9.8. A vulnerabilidade permite que atacantes não autenticados contornem a autenticação do FortiCloud SSO por meio de mensagens SAML manipuladas. Para mitigar o risco, recomenda-se desativar essa funcionalidade até que a atualização seja aplicada.

Nesta semana, o cenário de cibersegurança foi marcado por diversas vulnerabilidades e ataques significativos. A Fortinet alertou sobre uma nova falha no FortiWeb, identificada como CVE-2025-58034, que permite a execução de código não autorizado por atacantes autenticados, com um CVSS de 6.7. Essa vulnerabilidade foi explorada ativamente, e a empresa já havia corrigido outra falha crítica, CVE-2025-64446, com CVSS de 9.1, apenas dias antes.

Além disso, o Google lançou atualizações de segurança para o navegador Chrome, corrigindo duas falhas, incluindo uma de tipo confusão (CVE-2025-13223) com CVSS de 8.8, que estava sendo explorada ativamente. A empresa não divulgou detalhes sobre os atacantes ou o alcance dos ataques.

A Fortinet emitiu um alerta sobre uma nova vulnerabilidade no FortiWeb, identificada como CVE-2025-58034, que já está sendo explorada ativamente. Classificada como de severidade média, a falha possui um CVSS de 6.7, permitindo que um atacante autenticado execute comandos não autorizados no sistema subjacente por meio de requisições HTTP manipuladas ou comandos CLI. Para que um ataque seja bem-sucedido, o invasor deve primeiro se autenticar de alguma forma, o que torna a vulnerabilidade um vetor de ataque em cadeia. A Fortinet já lançou patches para diversas versões do FortiWeb, recomendando atualizações para versões mais recentes. A empresa também foi criticada por não ter emitido um aviso formal sobre a correção de outra vulnerabilidade crítica, CVE-2025-64446, que foi corrigida silenciosamente. Especialistas em segurança alertam que a falta de comunicação sobre novas falhas de segurança pode colocar os defensores em desvantagem, facilitando o trabalho dos atacantes. A situação destaca a importância de uma comunicação clara e proativa por parte dos fornecedores de tecnologia em relação a questões de segurança.

A Fortinet emitiu um alerta urgente para seus clientes após a descoberta de uma vulnerabilidade crítica em seu firewall de aplicação web, o FortiWeb. Identificada como CVE-2025-64446, essa falha permite que atacantes não autenticados executem comandos administrativos no sistema, apresentando um risco significativo. A vulnerabilidade afeta as versões 7.0.0 a 8.0.1 do FortiWeb e foi corrigida na versão 8.0.2. A gravidade da falha foi classificada com um escore de 9.8 em 10, indicando a necessidade de ação imediata. A Fortinet recomenda que os usuários apliquem o patch ou desativem as interfaces HTTP/HTTPS expostas à internet. A vulnerabilidade já está sendo explorada ativamente, conforme relatórios de pesquisadores de segurança. A CISA (Cybersecurity and Infrastructure Security Agency) incluiu essa falha em seu catálogo de Vulnerabilidades Conhecidas e Exploradas, exigindo que agências federais tomem medidas até 21 de novembro. A situação destaca a importância de manter sistemas atualizados e monitorar logs para detectar possíveis modificações não autorizadas.

Recentemente, o cenário de cibersegurança tem se tornado cada vez mais alarmante, com ataques que utilizam ferramentas comuns, como IA e VPNs, para causar danos sem serem detectados. Um exemplo crítico é a exploração da vulnerabilidade CVE-2025-64446 no Fortinet FortiWeb, que permite a criação de contas administrativas maliciosas. Essa falha, com um CVSS de 9.1, foi adicionada ao catálogo de Vulnerabilidades Conhecidas da CISA, exigindo que agências federais apliquem correções até 21 de novembro de 2025.

Uma grave vulnerabilidade zero-day no Fortinet FortiWeb está sendo ativamente explorada por cibercriminosos, permitindo acesso total a contas de administrador do firewall de aplicações web sem necessidade de autenticação. Essa falha de segurança afeta organizações globalmente que utilizam o FortiWeb para proteger suas aplicações web contra tráfego malicioso. A vulnerabilidade foi divulgada em 6 de outubro de 2025, após ser descoberta por pesquisadores da empresa Defused, que a identificaram em sua infraestrutura de honeypots. Testes realizados pela Rapid7 confirmaram a eficácia do exploit contra a versão 8.0.1 do FortiWeb, lançada em agosto de 2025, permitindo a criação de contas de administrador maliciosas. Embora a versão mais recente, 8.0.2, tenha mostrado respostas de ‘403 Forbidden’ durante tentativas de exploração, organizações que ainda operam versões anteriores enfrentam riscos significativos. A Fortinet ainda não forneceu orientações oficiais ou um identificador CVE para essa vulnerabilidade, o que levanta preocupações sobre sua abrangência. As organizações são aconselhadas a atualizar imediatamente para a versão 8.0.2 ou a remover interfaces de gerenciamento da exposição pública na internet.

Pesquisadores de cibersegurança alertam sobre uma vulnerabilidade de bypass de autenticação no Fortinet FortiWeb WAF, que pode permitir que atacantes assumam contas de administrador e comprometam completamente o dispositivo. A equipe watchTowr identificou a exploração ativa dessa vulnerabilidade, que foi silenciosamente corrigida na versão 8.0.2 do produto. A falha permite que atacantes realizem ações como usuários privilegiados, com foco na adição de novas contas de administrador como um mecanismo de persistência. A empresa conseguiu reproduzir a vulnerabilidade e criou uma prova de conceito, além de disponibilizar uma ferramenta para identificar dispositivos vulneráveis. O vetor de ataque envolve o envio de um payload específico via requisição HTTP POST para criar contas de administrador. Até o momento, a identidade do ator por trás dos ataques é desconhecida, e a Fortinet ainda não publicou um aviso oficial ou atribuiu um identificador CVE. A Rapid7 recomenda que organizações que utilizam versões anteriores à 8.0.2 do FortiWeb tratem a vulnerabilidade com urgência, já que a exploração indiscriminada sugere que dispositivos não corrigidos podem já estar comprometidos.

O relatório da FortiGuard sobre a primeira metade de 2025 revela que ataques cibernéticos motivados financeiramente dominaram os padrões de incidentes, destacando o uso abusivo de credenciais legítimas e ferramentas de gerenciamento remoto. Os atacantes estão optando por métodos de intrusão discretos e de baixa complexidade, utilizando logins válidos e canais de acesso remoto para se misturar às operações normais das empresas. O relatório também aponta que, embora ataques cibernéticos habilitados por IA chamem atenção, há pouca evidência de seu uso operacional eficaz. As violações baseadas em credenciais e o uso indevido de acesso remoto continuam sendo os principais vetores de acesso inicial. As técnicas de acesso inicial mais comuns incluem credenciais comprometidas e exploração de serviços VPN expostos. Após a intrusão, os atacantes utilizam ferramentas legítimas como AnyDesk e Splashtop para manter a persistência e exfiltrar dados. A Fortinet recomenda que as defesas se concentrem em detecções baseadas em identidade e comportamento, além de implementar controles de segurança como autenticação multifator (MFA) e políticas de acesso condicional. O alerta é claro: os atacantes não precisam mais hackear para entrar, eles simplesmente fazem login.

Uma análise recente da empresa de inteligência em ameaças KELA revelou paralelos operacionais significativos entre dois grupos cibernéticos ligados ao Iémen: o recém-surgido Belsen Group e o mais estabelecido ZeroSevenGroup. Embora não haja provas definitivas de liderança compartilhada, as táticas, técnicas e procedimentos (TTPs) sobrepostos sugerem uma possível afiliação ou atividade coordenada. Em janeiro de 2025, o Belsen Group publicou 1,6 GB de dados sensíveis de dispositivos Fortinet FortiGate, incluindo endereços IP e credenciais de VPN de mais de 15.000 aparelhos vulneráveis, explorando uma vulnerabilidade crítica (CVE-2022-40684) que foi corrigida em outubro de 2022. O grupo começou a vender acesso a redes corporativas, visando vítimas na África, EUA e Ásia. Por sua vez, o ZeroSevenGroup, que surgiu em julho de 2024, também se destacou por suas operações de exfiltração de dados, incluindo um ataque à Toyota. Ambos os grupos utilizam formatos de postagem semelhantes e hashtags comuns, indicando uma possível colaboração. A análise sugere que a infraestrutura operacional entre os dois grupos pode ser mais interligada do que se pensava anteriormente.

Uma pesquisa da Fortinet revelou que o Brasil acumulou 315 bilhões de tentativas de ciberataques no primeiro semestre de 2025, representando mais de 80% do total de ataques na América Latina. Durante o Fortinet Cybersecurity Summit 2025, o vice-presidente de engenharia da empresa, Alexandre Bonatti, destacou que a maioria dos ataques no Brasil é direcionada, visando alvos específicos e com o objetivo de monetização. Os criminosos agora tratam os ataques como uma estratégia de negócios, buscando maximizar lucros. O Brasil se torna um alvo atraente devido à combinação de grandes instituições e baixa maturidade em segurança cibernética, especialmente em um cenário de transformação digital. Bonatti também mencionou que setores que utilizam Internet das Coisas (IoT), como indústria e saúde, estão entre os mais vulneráveis, principalmente quando operam com dispositivos desprotegidos ou desatualizados. A pesquisa indica que a educação em cibersegurança no Brasil ainda é precária, o que facilita a exploração por criminosos. Com o aumento da lucratividade dos ataques, a situação exige atenção urgente das empresas e profissionais de segurança da informação.