Cyber Centre do Canadá relata exploração ativa de RCE no FortiSIEM
Falha crítica no handler gRPC QueryResultReq do FortiSIEM permite execução remota de código sem autenticação, por meio de path traversal e escrita arbitrária de arquivos. O Cyber Centre do Canadá relata atacantes explorando a CVE-2026-106173; a Fortinet ainda lista a falha como não conhecida como explorada. Atualize para FortiSIEM 7.5.1 ou 7.6.0 ou posterior.
O que aconteceu
Uma falha no FortiSIEM, produto de monitoramento de segurança da Fortinet, permite que atacantes executem código no servidor sem senha nem login. O órgão de cibersegurança do Canadá relata que a falha já está sendo explorada. Um código de exploração público foi divulgado.
Por que importa
O FortiSIEM centraliza logs e alertas de segurança; um ataque bem-sucedido dá controle total ao atacante e pode cegar a visibilidade de incidentes da empresa. A exploração não exige credenciais e existe exploit público, o que amplia o risco.
O que fazer
Atualize imediatamente para FortiSIEM 7.5.1 ou 7.6.0 ou posterior. Até concluir a atualização, restrinja o acesso à porta TCP/27918 (serviço gRPC) apenas a redes internas confiáveis. Revise os logs do FortiSIEM em busca de atividade anômala.
Para o time técnico
- CVE
- CVE-2026-106173
- Afetados
- Fortinet FortiSIEM · FortiSIEM 7.0.0 a 7.5.0, em múltiplos ramos de release.
- Exploração
- Exploração ativa relatada pelo Cyber Centre do Canadá. A Horizon3 divulgou exploit em 20 de outubro; há PoC público que demonstra execução cega de comandos. A Fortinet ainda lista a falha como não conhecida como explorada.
- Correção
- FortiSIEM 7.5.1 ou 7.6.0 e posteriores. Mitigação: restringir a exposição do serviço gRPC na porta TCP/27918.
- Vetor
- Handler gRPC QueryResultReq do FortiSIEM: validação inadequada de metadados controlados pelo atacante permite path traversal e escrita arbitrária de arquivos. Sobrescrever arquivos depois executados pelo sistema encadeia a execução remota de código. Exploração sem autenticação, contra o serviço gRPC exposto na porta TCP/27918.
- Mais detalhes
- CVSS 9.4 (crítico), segundo o DarkWebInformer. O PoC demonstra execução cega de comandos pela cadeia de escrita arbitrária de arquivos.
Linha do tempo
O Cyber Centre do Canadá relata atacantes explorando a CVE-2026-106173 sem autenticação; a versão 7.5.1 corrige a falha, embora a Fortinet ainda a liste como não conhecida como explorada.
Incidente aberto.
Fontes 2 fontes
- @DarkWebInformer @DarkWebInformer
- @IntCyberDigest @IntCyberDigest
