FortiOS: o atalho que sobrevive à atualização entra no KEV

O que a Fortinet descreveu

Em 2025, a Fortinet relatou um caso incômodo. Invasores que tinham explorado falhas antigas da SSL-VPN deixaram um link simbólico na pasta onde ficam os arquivos de idioma da SSL-VPN. Essa pasta é servida pela interface web. O link apontava para o sistema de arquivos do equipamento e dava ao invasor acesso de leitura a ele, inclusive à configuração. O detalhe pior: o link podia sobreviver à atualização para uma versão que corrigia as falhas originais.

A Fortinet corrigiu esse mecanismo. A CVE-2025-68686, publicada no aviso FG-IR-25-934, é o contorno dessa correção: com requisições HTTP forjadas, um atacante remoto e sem autenticação consegue driblar a proteção e continuar lendo arquivos. A condição é que o equipamento já tenha sido comprometido antes, no nível do sistema de arquivos, por outra falha.

Versões afetadas e corrigidas

Segundo a Fortinet, equipamentos que nunca tiveram a SSL-VPN ativada não são afetados. A nota do fabricante, como CNA, é 5,9 (média). A nota baixa reflete a exigência de comprometimento prévio, não a importância prática: a CISA só coloca no catálogo o que está sendo explorado.

A linha do tempo

Entre o aviso e a confirmação de exploração foram 167 dias, cerca de 5,6 meses. Para equipamentos que ficaram em ramos sem correção (7.2, 7.0 e 6.4), essa janela continua aberta até a migração. Hoje, 14 de outubro de 2026, já são 246 dias desde o aviso. Se a sua frota tem FortiGates nesses ramos, a migração deixou de ser projeto para o ano que vem.

Por que atualizar não basta

A diretiva BOD 26-04, que a CISA publicou em junho de 2026 para as agências federais americanas, registra o problema de forma direta: aplicar a correção, em geral, não expulsa um invasor que já entrou. Por isso a diretiva passou a pedir uma verificação de comprometimento além da correção.

O caso do symlink do FortiOS é o exemplo perfeito. Um equipamento invadido no passado, depois atualizado, pode continuar entregando arquivos a quem deixou o atalho. Para quem administra FortiGates com SSL-VPN, o procedimento sensato é:

1. Atualizar para 7.6.2, 7.4.7 ou posterior; migrar os ramos 7.2, 7.0 e 6.4.
2. Verificar se há indícios de comprometimento, seguindo a orientação da Fortinet para o caso do symlink, inclusive na pasta de idiomas da SSL-VPN.
3. Trocar credenciais que estavam no equipamento: contas de administrador, contas locais de VPN, chaves pré-compartilhadas de IPsec e senhas de integração (LDAP, RADIUS).
4. Revisar a configuração em busca de usuários, regras e rotas que ninguém pediu.
5. Considerar desligar a SSL-VPN se ela não for essencial. A Fortinet indica que equipamentos que nunca a ativaram não são afetados por esta falha.

A conta das credenciais

O passo 3 é o que mais dá trabalho, e por isso o que mais fica para depois. Uma forma de dimensionar: liste tudo o que o firewall guarda e que dá acesso a outro lugar.

Se o equipamento foi lido por um invasor, cada linha dessa tabela é um caminho para fora do firewall. Quanto mais túneis e integrações, maior a lista de trocas, e mais importante é fazê-las de forma organizada, com os parceiros avisados.

Roteiro rápido

1. Identifique FortiGates com SSL-VPN ativada hoje ou no passado.
2. Confira a versão e atualize ou migre.
3. Procure indícios de comprometimento, inclusive o symlink.
4. Troque as credenciais guardadas no equipamento.
5. Avalie desligar a SSL-VPN, se houver alternativa.

Perguntas frequentes

Nunca fui invadido. Preciso me preocupar?

A falha exige comprometimento prévio. Mas "nunca fui invadido" é uma afirmação difícil de provar em equipamentos que ficaram expostos com versões vulneráveis. A verificação existe justamente para transformar a suposição em fato.

Estou no ramo 7.2. Migrar para 7.4 é simples?

É uma mudança de ramo, não uma atualização de rotina. Leia as notas de versão e o caminho de atualização recomendado pela Fortinet, faça backup da configuração, teste em laboratório ou num equipamento de menor impacto e reserve uma janela com plano de volta. Mesmo assim, ficar num ramo sem correção para uma falha explorada é o risco maior.

A assinatura de IPS substitui a atualização?

Não. A Fortinet publicou uma proteção de IPS como medida adicional. Ela ajuda a detectar e bloquear tentativas, mas a correção definitiva é a versão corrigida.

Por que uma falha com nota 5,9 está no catálogo da CISA?

Porque o catálogo não lista falhas pela nota, e sim pela exploração confirmada. Uma falha de nota média que mantém um invasor dentro da rede pesa mais do que uma de nota alta que ninguém explora.