Ir para conteúdo

Alerta de Vulnerabilidade - Fortinet FortiOS

28 Jul 2026

Alerta de Vulnerabilidade - Fortinet FortiOS

TIPO
Vulnerabilidade
SISTEMAS AFETADOS
Fortinet FortiOS
ECOSSISTEMA
Outro
CVSS v3.1 - Resumo Técnico CVSS: 5.9 / 10 - Médio
CVE CVE-2025-68686
Vetor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Vetor de Ataque Rede Explorável remotamente através de pedidos HTTP manipulados
Complexidade Alta Difícil de explorar
Privilégios Nenhum Sem autenticação
Interação Nenhuma Não requer intervenção do utilizador
Âmbito Inalterado O impacto permanece no âmbito de segurança do componente vulnerável
Impacto na Confidencialidade Alto Impacto elevado na confidencialidade
Impacto na Integridade Nenhum Sem impacto na integridade
Impacto na Disponibilidade Nenhum Sem impacto na disponibilidade
Resumo Vulnerabilidade de severidade média (CVSS 5.9), identificada como CVE-2025-68686, de exposição de informação sensível a ator não autorizado (CWE-200) no Fortinet FortiOS. Permite a um atacante remoto não autenticado contornar, através de pedidos HTTP manipulados, a correção desenvolvida para o mecanismo de persistência por ligações simbólicas. A exploração exige que o dispositivo tenha sido previamente comprometido ao nível do sistema de ficheiros por outra vulnerabilidade, tratando-se de um vetor de exploração secundário que prolonga o acesso não autorizado a informação sensível. 

Descrição
Vulnerabilidade de exposição de informação sensível a um ator não autorizado (CWE-200), CVE-2025-68686/EUVD-2025-207440, no componente SSL-VPN do FortiOS [1][2][3]. Estão afetadas as versões FortiOS 6.4 (todas), 7.0 (todas), 7.2 (todas), 7.4.0 até 7.4.6 e 7.6.0 até 7.6.1 [1][2]. 

Impacto
Um atacante remoto e não autenticado pode, através de pedidos HTTP especialmente construídos, contornar a correção desenvolvida para o mecanismo de persistência por symbolic links observado em casos de pós-exploração [1][2]. A exploração pressupõe que o equipamento tenha sido previamente comprometido ao nível do sistema de ficheiros através de outra vulnerabilidade, pelo que constitui um vetor secundário destinado a preservar ou prolongar o acesso e a exposição de informação sensível, e não um vetor de acesso inicial autónomo [2][3].

Resolução
Recomenda-se a atualização para FortiOS 7.4.7, 7.6.2 ou posterior [1][2].

Medidas adicionais recomendadas [1]:
  • Priorizar os servidores SSL-VPN expostos à Internet;
  • Investigar sinais de comprometimento anterior nos equipamentos FortiOS, incluindo a presença de symlinks não legítimos e de artefactos de persistência, antes de considerar a atualização como resolução completa;
  • Considerar o isolamento temporário dos equipamentos potencialmente comprometidos até à conclusão da análise forense e da atualização.
Referências
[1] - https://fortiguard.fortinet.com/psirt/FG-IR-25-934
[2] - https://nvd.nist.gov/vuln/detail/CVE-2025-68686
[3] - https://euvd.enisa.europa.eu/vulnerability/CVE-2025-68686
Última atualização em 07-09-2022