FortiGate em alerta para CVE-2025-59718 FortiCloud SSO continua a ser explorado apesar de adesivos e exige desativá-lo já

Os administradores de redes que usam dispositivos FortiGate levam dias com o alerta ligado: o que parecia uma falha já corrigida na autenticação de FortiCloud SSO (identificado como CVE-2025-59718) está sendo novamente explorado para tomar o controle de firewalls mesmo em equipamentos com patches recentes. Relatórios de usuários e análises de incidentes apontam que a atualização anunciada como solução não fechou completamente a via de acesso, o que permitiu a atacantes criar contas administrativas remotas e gerenciar dispositivos como se tivessem credenciais legítimas.

A situação acumula vários sinais de gravidade: evidências de exploração ativa, registros compartilhados por gestores e inclusão da vulnerabilidade em listados oficiais de risco. Em fóruns técnicos, vários administradores publicaram registros onde se observa a criação de um usuário administrador após um início de sessão SSO procedente de uma conta identificada como cloud-init@mail.io e do endereço IP 104.28.244.114, um padrão que coincide com incidentes detectados previamente em dezembro. Esses mesmos administradores indicam que seus dispositivos executavam versões que deveriam ter corrigido a falha, sugerindo que o adesivo original não fechou todos os vetores de exploração.

Fortinet publicou uma nota técnica sobre este incidente em seu portal de segurança (PSIRT), onde explica o alcance do problema e as mitigações recomendadas; é a referência oficial para verificar versões afetadas e atualizações agendadas: Fortinet PSIRT — FG-IR-25-647. Por sua vez, a Agência de Segurança de Infra-estruturas e Cibersegurança dos EUA (CISA) já acrescentou esta entrada ao seu catálogo de vulnerabilidades exploradas ativamente, o que obriga organismos federais a aplicar medidas em prazos curtos: CISA — Known Exploited Vulnerabilities (CVE-2025-59718).

Um fator que aumenta o risco é a exposição pública de dispositivos com FortiCloud SSO ativado. Em dezembro, Shadowserver informou que havia mais de 25.000 dispositivos alcançáveis pela Internet com essa característica ativa; desde então vários milhares foram desativados, mas ainda restam mais de 11.000 equipamentos potencialmente acessíveis desde a rede pública: Shadowserver — FortiCloud SSO expostos.

Enquanto Fortinet prepara novas versões do sistema operacional (FortiOS 7.4.11, 7.6.6 e 8.0.0, segundo comunicações internas e relatórios de administradores) para encerrar definitivamente a falha, a recomendação prática e de urgência para aqueles que possam estar em risco é desativar temporariamente a possibilidade de início de sessão administrativa através de FortiCloud SSO. Essa funcionalidade não vem ativada por defeito em dispositivos que não estão registrados com FortiCare, mas nos quais você está pode se tornar a porta de entrada que estão aproveitando os atacantes.

Se você gerencia FortiGate, você pode desativar o início de sessão FortiCloud SSO da interface gráfica navegando para System → Settings e colocando em Off a opção "Allow administrative login using FortiCloud SSO". Se você prefere a linha de comandos, as instruções para desativá-la são simples; executa os seguintes comandos no CLI do dispositivo:

config system global
set admin-forticloud-sso-login disable
end

Desactivar essa opção reduz imediatamente a superfície de ataque, mas não é a única medida razoável. Os utilizadores locais e os registos de acesso devem ser auditados para detectar contas novas ou actividades invulgares, rever os logs do SIEM ou de gestão centralizada para rastrear o início de sessão SSO suspeitos e pôr em quarentena qualquer equipamento que apresente sinais de compromisso. Se você detectar contas administrativas que não tenha criado, isolalas e tratar o incidente como uma intrusão: muda senhas, revoga chaves e certificados comprometidos e restabelece a integridade do dispositivo a partir de cópias de segurança verificadas antes de religar à produção.

A comunidade de segurança já documenta padrões de exploração que apontam para o envio de mensagens SAML manipuladas como vetor para a suplantação e criação de contas com privilégios. Análises anteriores, difundidas por assinaturas de cibersegurança, vinculam os incidentes de dezembro com embriões do mesmo modus operandi que está sendo observado agora; por isso é fundamental não só aplicar o bloqueio temporário, mas manter-se atento a novas atualizações oficiais de Fortinet e aplicá-las logo que se confirmem como completas.

Finalmente, e embora a mitigação principal seja técnica, há uma dimensão operacional importante: comunicar de forma clara e rápida as equipas afectadas, coordenar com o suporte do fornecedor e, se for caso disso, com entidades reguladoras, e conservar evidências para a análise forense. A comunicação pública sobre estes incidentes já está circulando em fóruns especializados — por exemplo, administradores publicaram referências e amostras de logs em fios técnicos — e as autoridades e grupos de resposta estão seguindo o desenvolvimento. Para mais contexto e fonte oficial, consulte o aviso de Fortinet e a entrada do catálogo de CISA acima citados.

A lição imediata para os responsáveis pela segurança é simples, mas contundente: Se o seu FortiGate tiver FortiCloud SSO habilitado, desligue-o agora e monitorize sinais de acesso não autorizado até que o Fortinet publique e verifique um adesivo que feche todas as variantes do bypass.