Alerta Fortinet: atacantes automatizados eluden o adesivo de CVE-2025-59718 e ataca FortiCloud SSO

O cenário que descreve as equipas de resposta e as empresas que pesquisaram a campanha é direto e rápido. Segundo relatos públicos de assinaturas do setor, em meados de janeiro começaram a se detectar acessos anormais que incluíam a criação de contas administrativas com acesso VPN e a exfiltração de configurações das equipes em questão em questão de segundos. A rapidez e a uniformidade dessas intrusões fazem pensar em um processo automatizado que aproveita alguma rota de ataque nova ou uma forma de sortear a correção prévia.

Fortinet confirmou publicamente que a atividade observada nestas últimas semanas guarda semelhança com as explorações documentadas em dezembro e que a empresa está trabalhando para identificar e remediar completamente o vetor responsável pelas novas invasões. Em sua nota técnica sobre o abuso do SSO em FortiOS ( ver comunicado de Fortinet) a empresa reconhece que, embora até agora a exploração conhecida afeta FortiCloud SSO, o problema subjacente se relaciona com implementações SAML SSO em geral.

Os indícios de partilha de clientes e analistas ajudam a reconstruir parte do ataque: em vários registos de acesso, as contas administrativas foram criadas após um início de sessão SSO desde o endereço de email cloud-init@mail.io e do IP 104.28.244.114, coincidências que também foram identificadas pela assinatura de segurança que publicou observações sobre a campanha. O Fortinet, por sua vez, apresentou indicadores de compromisso que podem ser utilizados para a busca de evidências em dispositivos potencialmente afetados ( ver IOCs compartilhados por Fortinet).

Para dimensionar a exposição, o grupo de vigilância Shadowserver mantém um acompanhamento de equipamentos com FortiCloud SSO exposto na Internet e seu tabuleiro mostra cerca de 11.000 dispositivos acessíveis publicamente com esse serviço ativado ( ver painel de Shadowserver). Esse número explica por que a adição do CVE-2025-59718 à lista de vulnerabilidades exploradas ativamente da agência norte-americana CISA gerou medidas urgentes: em 16 de dezembro, CISA incorporou esta falha ao seu catálogo e ordenou a agências federais aplicar adesivos em prazos ajustados ( comunicado da CISA, entrada no catálogo).

Diante deste panorama, as recomendações práticas são claras e urgentes. Fortinet sugeriu limitar o acesso administrativo da Internet aplicando uma política local-in que restrinja os endereços IP autorizados a administrar os dispositivos; a documentação oficial explica como aplicar essa política em FortiGate ( mais informações sobre local-in policy). Além disso, enquanto se entrega uma correcção definitiva, a empresa aconselha a desativar a opção de iniciar sessão administrativa através do FortiCloud SSO nas configurações do sistema e verificar quaisquer vestígios de compromisso nos registros.

Se, ao rever as máquinas, se encontrarem os indicadores de compromisso associados a esta campanha, a recomendação operacional é tratar a equipe e a sua configuração como comprometidos: mudar todas as credenciais relevantes, incluindo contas LDAP/AD que possam ter ficado expostas, e restaurar a configuração de uma cópia de segurança conhecida como limpa. Fortinet publicou passos técnicos e recursos em sua comunidade para guiar a resposta ( ver sugestões na comunidade de Fortinet).

Para além deste incidente concreto, há duas lições que convém interiorizar. A primeira é que as soluções de autenticação centralizada como SAML/SSO, que oferecem conforto e controle, também concentram risco: uma vulnerabilidade nessa cadeia de confiança pode dar acesso amplo e rápido a um atacante. A segunda é que o fato de ter aplicado um adesivo não garante que a exposição tenha desaparecido; sempre existem casos em que surgem rotas alternativas de exploração ou a correção não cobre cenários imprevistos. Por isso, em ambientes críticos, as medidas de defesa em profundidade — segmentação de acesso, whitelisting de IPs para administração, supervisão contínua de logs e restauração desde backup limpo — permanecem imprescindíveis.

Se você gerencia Fortinet em uma rede empresarial, deve agir imediatamente: revisar a configuração de FortiCloud SSO, auditar os acessos recentes, aplicar bloqueios de administração da Internet e preparar planos de resposta que incluam a rotação de credenciais e a restauração segura. Muitas destas instruções estão detalhadas nas fontes oficiais associadas a este artigo; rever e segui-las reduz significativamente a probabilidade de sofrer uma intrusão semelhante.

A situação continua em desenvolvimento e tanto fornecedores de segurança como fabricantes continuarão a publicar atualizações técnicas. Para manter o dia e contrastar informações, consultar as publicações dos fabricantes e os alertas de organismos como a CISA, além de relatórios de empresas de resposta que monitoram atividades maliciosas no terreno. Num ambiente onde os ataques são automatizados e rapidamente propagados, a prevenção ativa e a detecção precoce são a melhor defesa.