A Fortinet lançou oito avisos de segurança abordando vulnerabilidades no FortiAuthenticator, FortiClient for Windows, FortiGate, FortiOS e FortiSandbox. Duas falhas de alta gravidade chamam atenção por permitirem execução de comandos e bypass de autenticação sem necessidade de credenciais.
Vulnerabilidades de alta gravidade expõem sistemas
A falha mais severa, rastreada como CVE-2025-52436, é um bug de cross-site scripting (XSS) no FortiSandbox explorável remotamente. Um atacante pode enviar requisições especialmente elaboradas para executar comandos no dispositivo sem qualquer autenticação prévia.
A segunda vulnerabilidade de alto risco, CVE-2026-22153, reside no FortiOS. Sob configurações específicas, o defeito permite que um agente malicioso contorne a autenticação LDAP em políticas de VPN Agentless ou FSSO.
Patch de bypass de mecanismo previamente explorado
Entre as correções de gravidade média, a CVE-2025-68685 recebe atenção especial. A falha, descrita como exposição de informação sensível no SSL-VPN do FortiOS, representa um bypass do patch desenvolvido para mecanismos de persistência via link simbólico observados em cenários pós-exploração.
A Fortinet esclarece que a vulnerabilidade só pode ser abusada como consequência de um comprometimento prévio. Um atacante precisa primeiro explorar uma falha conhecida — como CVE-2022-42475, CVE-2023-27997 ou CVE-2024-21762 — para obter acesso de leitura ao sistema de arquivos do dispositivo. Produtos que nunca tiveram o SSL-VPN habilitado não são impactados.
Atualizações sucedem correção de falha crítica
As atualizações chegam quatro dias após a empresa abordar uma vulnerabilidade crítica de injeção de SQL no FortiClientEMS. Identificada como CVE-2026-21643 e com pontuação 9.1 no CVSS, a falha permite que um atacante não autenticado execute código arbitrário remotamente através de requisições HTTP.
A Fortinet não relata evidências de exploração ativa destas vulnerabilidades, mas recomenda a aplicação imediata das correções disponíveis em sua página de avisos PSIRT.
