Fortinet corrige falhas críticas encontradas com IA; detalhes em novembro
A Fortinet lançou atualizações de hardening para FortiOS, FortiManager, FortiAnalyzer, FortiMail e FortiAuthenticator que corrigem falhas classificadas como críticas e de alta severidade; segundo a Fortinet, ao menos algumas podem ser exploráveis remotamente sem autenticação prévia. Os detalhes técnicos das vulnerabilidades ficam retidos até 10 de novembro de 2026, e a empresa pede atualização imediata, priorizando sistemas expostos à internet. As falhas foram encontradas com modelos de IA e validadas por humanos, e a Fortinet alerta que a IA pode unir falhas de menor severidade em uma brecha explorável mais grave.
O que aconteceu
A Fortinet publicou atualizações de hardening para FortiOS, FortiManager, FortiAnalyzer, FortiMail e FortiAuthenticator. As falhas corrigidas foram classificadas pela própria Fortinet como críticas e de alta severidade, e ao menos algumas podem ser exploráveis remotamente sem autenticação. Os detalhes técnicos só serão divulgados em 10 de novembro de 2026.
Por que importa
Equipamentos Fortinet são alvo frequente de atacantes, e a Fortinet alerta que sistemas não atualizados ficam mais fáceis de atacar depois que as correções saem. Firewalls e gerenciadores expostos à internet correm o maior risco. Segundo o CISO da Fortinet, a janela entre divulgação e exploração segue encolhendo.
O que fazer
Atualizar agora para as builds corrigidas (FortiOS 8.0.2, 7.6.8, 7.4.13 ou 7.2.14, e as equivalentes dos demais produtos), priorizando o que está exposto à internet. Enquanto isso, restringir acesso administrativo a IPs confiáveis, tirar o FortiManager da internet, usar senhas fortes únicas e MFA; essas medidas não substituem a atualização.
Para o time técnico
- Afetados
- Fortinet FortiOS, FortiManager, FortiAnalyzer, FortiMail, FortiAuthenticator · FortiOS 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.12, 7.2.0–7.2.13; FortiManager e FortiAnalyzer 8.0.0–8.0.1, 7.6.0–7.6.7, 7.4.0–7.4.11, 7.2.0–7.2.12; FortiMail 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8, 7.2.0–7.2.9; FortiAuthenticator 8.0.0–8.0.3, 6.6.0–6.6.10.
- Exploração
- Nenhuma exploração relatada nas fontes e nenhuma PoC pública para as novas falhas. A Fortinet demonstrou que modelos de IA conseguem comparar versões de firmware e construir PoCs para vulnerabilidades já corrigidas, e pede atualização antes de 10 de novembro de 2026.
- Correção
- FortiOS 8.0.2, 7.6.8, 7.4.13, 7.2.14; FortiManager e FortiAnalyzer 8.0.2, 7.6.8, 7.4.12, 7.2.13; FortiMail 8.0.2, 7.6.7, 7.4.9 (usuários da 7.2 devem migrar para 7.4 ou posterior); FortiAuthenticator 8.0.4, 6.6.11. Mitigação temporária citada pela Fortinet: limitar acesso administrativo a IPs confiáveis, manter o FortiManager fora da internet, credenciais fortes únicas e MFA para contas administrativas.
- Vetor
- Componente e tipo exatos de falha não divulgados; a Fortinet retém os detalhes até 10 de novembro de 2026. As vulnerabilidades foram classificadas pela Fortinet como críticas e de alta severidade; pela classificação, ao menos algumas podem ser exploráveis remotamente sem autenticação prévia (análise da Help Net Security). A Fortinet alerta que IA pode encadear falhas de menor severidade em uma vulnerabilidade explorável mais grave.
- Mais detalhes
- Falhas encontradas com modelos de IA de fronteira e modelos próprios on-premises, validadas por humanos, segundo o CISO da Fortinet, Carl Windsor. Testes sem acesso ao código-fonte analisaram o firmware como um atacante faria, com verificação por pentest e red teaming; a maior parte dos achados veio da análise do código-fonte. Mais de 100 testes em 30 famílias de produtos: cerca de 40% eram vulnerabilidades reais, 30% falsos positivos e 30% melhorias de segurança não exploráveis. Divulgação da Fortinet em 21 de outubro de 2026; artigo da Help Net Security em 26 de outubro de 2026. As builds de hardening não corrigem as vulnerabilidades PHP2Shell: os produtos deste aviso não são afetados por elas.
Linha do tempo
Fortinet publica release de hardening com builds corrigidas; CVEs virão depois.
Fontes 4 fontes
- Fortinet Releases Security Hardening Release for Multiple Products Fortinet
- Fortinet Releases Security Hardening Release for Multiple Products (CC-4879) NHS England Digital
- Fortinet says patch now, CVEs come later, sparking fears of hacks Cybernews
- Fortinet patches critical FortiOS flaws found with AI help Help Net Security
