A Fortinet publicou ontem um alerta informando que invasores estão explorando uma vulnerabilidade que foi “zero-day” mas já foi corrigida, no FortiOS e no FortiProxy, para sequestrar firewalls da Fortinet e violar redes corporativas. A falha, registrada como CVE-2025-24472 (CVSS 8.1), permite que invasores remotos obtenham privilégios de superadministrador, explorando solicitações de proxy CSF maliciosamente elaboradas. Essa vulnerabilidade afeta versões específicas do FortiOS e FortiProxy, incluindo FortiOS 7.0.0 até 7.0.16 e FortiProxy 7.0.0 até 7.0.19. A Fortinet já lançou correções no FortiOS 7.0.17 ou superior e no FortiProxy 7.0.20/7.2.13 ou superior.
Leia também
FunkSec utiliza IA para impulsionar ransomware
Roubo de APIs de IA segue em nível elevado
Esse novo CVE-ID foi adicionado a um alerta de segurança anterior, publicado no mês passado, sobre a exploração da falha CVE-2024-55591, que também afetava as mesmas versões de software. Enquanto a CVE-2024-55591 permitia exploração via o módulo websocket do Node.js, a nova falha é explorada por meio de solicitações ao proxy CSF. Os invasores utilizam essas vulnerabilidades para criar administradores ou usuários locais aleatórios em dispositivos afetados, adicionando-os a grupos de usuários SSL VPN e modificando configurações do firewall. Também foram observados acessos não autorizados a instâncias SSL VPN com contas comprometidas, estabelecendo túneis para redes internas.
A empresa de segurança Arctic Wolf identificou ataques em massa desde novembro de 2024. Segundo suas análises, os invasores realizaram varreduras para encontrar sistemas vulneráveis, fizeram reconhecimento das redes comprometidas, configuraram acessos persistentes via SSL VPN e, por fim, movimentaram-se lateralmente dentro das redes afetadas. O Arctic Wolf Labs notificou a Fortinet sobre os ataques em 12 de dezembro, e a Fortinet confirmou cinco dias depois que a atividade estava sob investigação.
Para mitigar os riscos, a Fortinet recomenda a aplicação imediata das atualizações de segurança. Para administradores que não podem atualizar imediatamente, a empresa sugere desativar a interface administrativa HTTP/HTTPS ou restringir o acesso por IPs confiáveis como solução temporária.
