Fortinet corrige falha crítica que permitia login com usuário e senha aleatórios em firewalls de aplicações web
A Fortinet anunciou a correção de uma vulnerabilidade grave em seus produtos de segurança, com destaque para o FortiWeb, que poderia permitir que invasores obtivessem acesso administrativo usando credenciais completamente aleatórias. O pacote de atualizações também contempla falhas em soluções como FortiManager e FortiClient, incluindo bugs que possibilitam execução de código em sistemas Windows.
O problema mais crítico foi catalogado como CVE-2026-26035 e avaliado com pontuação 8,8 no sistema CVSS, faixa considerada de alta severidade. A brecha afeta o FortiWeb, solução de firewall de aplicação web (WAF) da empresa, e está diretamente relacionada ao uso de autenticação remota via RADIUS em contas administrativas que utilizam a opção de “wildcard”. Essa configuração específica não vem ativada por padrão, mas quando habilitada em conjunto com o RADIUS abre espaço para o comportamento inseguro.
Na prática, em ambientes onde essa combinação de configurações está presente, um atacante remoto, sem qualquer autenticação prévia e sem conhecimento de credenciais válidas, poderia acessar tanto a interface gráfica quanto a linha de comando do FortiWeb informando um nome de usuário e uma senha quaisquer. Esse acesso concederia privilégios administrativos, permitindo controle total sobre o dispositivo e, por consequência, sobre a proteção das aplicações web sob sua responsabilidade.
O impacto é significativo porque o FortiWeb costuma ser posicionado na borda da infraestrutura, à frente de aplicações críticas, filtrando requisições maliciosas e protegendo dados sensíveis. Se o próprio WAF é comprometido, o invasor pode desabilitar políticas, criar regras de bypass, instalar backdoors ou até interceptar e manipular o tráfego, abrindo caminho para roubos de dados, sequestro de sessões e ataques mais profundos contra sistemas internos.
A vulnerabilidade atinge diferentes versões das linhas 8.0, 7.6, 7.4, 7.2 e 7.0 do FortiWeb. A Fortinet disponibilizou correções nas versões 8.0.3, 7.6.7, 7.4.12 e 7.2.13, que passam a ser as releases recomendadas para mitigar o problema. Organizações que ainda operam em versões anteriores devem planejar a atualização o quanto antes, especialmente se os equipamentos estiverem acessíveis via internet ou se forem responsáveis pela proteção de sistemas estratégicos.
Além do FortiWeb, o ciclo de correções inclui falhas em produtos como FortiManager e FortiClient. No caso do FortiClient, as vulnerabilidades podem levar à execução de código em estações Windows, o que aumenta o risco de comprometimento de endpoints e movimentação lateral dentro da rede corporativa. Em cenários avançados, uma falha explorada em conjunto com outras brechas pode facilitar a instalação de malware, ransomware ou ferramentas de acesso remoto sem o conhecimento da equipe de TI.
Até o momento da publicação dos boletins técnicos, não havia evidências públicas de exploração ativa das principais falhas de autenticação. No entanto, o fato de a vulnerabilidade permitir acesso administrativo remoto, sem necessidade de credenciais válidas, torna a correção uma prioridade máxima de segurança. Historicamente, falhas que simplificam o processo de login tendem a ser rapidamente integradas a kits de exploração automatizados, scanners de massa e ferramentas usadas por grupos de cibercrime.
Para empresas que utilizam FortiWeb com autenticação RADIUS, é fundamental revisar imediatamente as configurações relacionadas à opção “wildcard”. Mesmo após a aplicação do patch, boas práticas recomendam limitar o uso desse tipo de recurso apenas quando indispensável, reforçar políticas de autenticação forte para contas administrativas e adotar princípios de menor privilégio. Sempre que possível, o acesso de administração deve ser restringido a redes internas ou VPNs, evitando exposição direta da interface de gerenciamento à internet.
O caso também reforça a importância de uma rotina de gestão de vulnerabilidades madura. Produtos de segurança, como WAFs, firewalls e soluções de gerenciamento centralizado, muitas vezes são tratados como “caixas pretas” estáveis, que raramente são atualizadas por medo de indisponibilidades. Porém, justamente por estarem na linha de frente da proteção, quando apresentam falhas, tornam-se alvos extremamente valiosos. Manter uma política de atualização planejada, com janelas de manutenção e ambientes de teste, é crucial para reduzir o tempo entre a divulgação de uma falha e sua correção efetiva.
Outro ponto relevante é a necessidade de monitoramento contínuo de logs e eventos. Mesmo que não haja indicações de exploração em larga escala até agora, organizações podem investigar registros de acesso ao FortiWeb em busca de atividades suspeitas, como tentativas de login com múltiplos usuários aleatórios, acessos administrativos em horários atípicos ou conexões a partir de endereços IP incomuns. Detectar precocemente um possível abuso da falha pode evitar um incidente maior.
Em paralelo, segmentar a rede e aplicar controles adicionais ao redor de dispositivos de segurança ajuda a reduzir o impacto de uma eventual exploração. Ainda que um atacante obtenha acesso administrativo ao WAF, camadas extras de defesa – como segmentação de VLANs, proteção em camadas superiores, autenticação multifator para áreas sensíveis e revisão de regras de roteamento – podem dificultar o avanço do intruso em direção a servidores de aplicação, bancos de dados e outros ativos críticos.
Profissionais de segurança também podem aproveitar o episódio para revisar a arquitetura de autenticação remota em toda a infraestrutura. O uso de RADIUS, LDAP ou outros serviços de diretório deve ser combinado com políticas robustas de senha, MFA sempre que possível e monitoramento atento de contas privilegiadas. Funcionalidades de conveniência, como “wildcards”, precisam ser cuidadosamente avaliadas sob a ótica de risco, pois pequenos detalhes de configuração podem ter consequências dramáticas quando explorados por atacantes.
Por fim, o incidente ilustra como a superfície de ataque de uma organização não se limita a sistemas internos ou aplicações voltadas ao público final. Ferramentas de administração, plataformas de segurança e consoles de gerenciamento centralizado frequentemente concentram poderes que, em mãos erradas, permitem reconfigurar toda a defesa digital de uma empresa. Manter esses componentes atualizados, bem configurados e com acesso rigidamente controlado é um dos pilares para reduzir a probabilidade e o impacto de ataques bem-sucedidos.