Fortinet corrige vulnerabilidades em Firewalls FortiGate que permitiam roubo de credenciais corporativas

As três vulnerabilidades críticas em FortiGate não são falhas isoladas, mas um ciclo de exploração em cadeia: CVE-2025-59718 e CVE-2025-59719 (divulgadas em 9/12/2025, exploradas desde 12, 13/12/2025) permitiam falsificação de tokens SAML sem autenticação prévia, e o recurso FortiCloud SSO, embora desabilitado por padrão, era ativado automaticamente ao registrar o dispositivo no FortiCare via GUI, deixando ~30 mil instâncias expostas na internet. A partir daí, atacantes baixavam arquivos de configuração com hashes de credenciais LDAP/AD, que eram quebrados para acessar diretórios corporativos. Já a CVE-2026-24858, descoberta em janeiro de 2026 após ataques bem-sucedidos mesmo em sistemas já corrigidos, é uma falha de bypass de autenticação que permitia usar uma única conta FortiCloud maliciosa para logar em dispositivos registrados em outras contas, o que revela um defeito estrutural na lógica de confiança entre contas do ecossistema Fortinet.

A Fortinet reagiu com medidas operacionais raras: suspendeu o FortiCloud SSO globalmente em 26/01/2026, reativou-o só para versões corrigidas em 27/01/2026 e impôs prazos de remediação apertados pela CISA (até 23/12/2025 para as primeiras CVEs; até 30/01/2026 para a CVE-2026-24858). O custo potencial de inação varia de US$ 200 mil a mais de US$ 7 milhões por organização, não só por danos diretos, mas por multas regulatórias e perda de confiança em setores como saúde e governo, onde esses ataques foram concentrados.

Essas falhas expõem um risco sistêmico: firewalls não são apenas barreiras de rede, mas pontos de gerenciamento centralizados que, quando comprometidos, entregam credenciais de domínio, políticas de firewall e até chaves de criptografia. A exploração foi usada para criar estações de trabalho fraudulentas no AD, implantar ferramentas de gerenciamento remoto (Pulseway, MeshAgent) e tentar extrair NTDS.dit, ou seja, o ataque não parou no perímetro, mas avançou para o coração da infraestrutura. A ausência de logs adequados nos dispositivos dificultou detecção: um incidente identificado pela SentinelOne começou em novembro de 2025 e só foi descoberto em fevereiro de 2026. Isso torna a recomendação técnica urgente e específica: girar *todas* as credenciais LDAP e AD associadas a FortiGate, auditar mS-DS-MachineAccountQuota e monitorar EDR em servidores adjacentes, não como boas práticas genéricas, mas como resposta a um padrão de movimentação observado em campo.