A Fortinet divulgou atualizações de segurança para corrigir duas vulnerabilidades críticas no FortiSandbox e no FortiAuthenticator, falhas que podem permitir que invasores executem comandos ou código arbitrário em sistemas sem o patch.
A primeira, identificada como
CVE-2026-44277
, afeta a solução de gestão de identidade e acesso, ou IAM, do FortiAuthenticator.
A correção foi incluída nas versões 6.5.7, 6.6.9 e 8.0.3.
“Uma vulnerabilidade de controle de acesso inadequado [CWE-284] no FortiAuthenticator pode permitir que um invasor sem autenticação execute código ou comandos não autorizados por meio de requisições elaboradas”, informou a Fortinet em comunicado na terça-feira.
A empresa acrescentou que o FortiAuthenticator Cloud, antes conhecido como FortiTrust Identity, não foi impactado.
O serviço em nuvem de IDaaS, hospedado e gerenciado pela própria Fortinet, permanece fora do escopo da falha.
A Fortinet também corrigiu nesta terça-feira uma falha de falta de autorização, identificada como
CVE-2026-26083
, que pode ser explorada para execução remota de código em sistemas FortiSandbox vulneráveis.
A plataforma foi projetada para proteger contra atividades maliciosas, incluindo ameaças de zero-day.
“Uma vulnerabilidade de falta de autorização [CWE-862] no FortiSandbox, FortiSandbox Cloud e na interface web do FortiSandbox PaaS pode permitir que um invasor sem autenticação execute código ou comandos não autorizados por meio de requisições HTTP”, acrescentou a empresa.
Embora a companhia não tenha classificado essas duas falhas como exploradas em ataques reais, vulnerabilidades da Fortinet costumam ser usadas em campanhas de ransomware e ciberespionagem, muitas vezes como zero-days.
Em fevereiro, por exemplo, a empresa corrigiu outra vulnerabilidade crítica, a
CVE-2026-21643
, na plataforma FortiClient Enterprise Management Server, ou EMS.
Um mês depois, a empresa de inteligência de ameaças Defused apontou que a falha já estava sendo explorada ativamente.
Mais recentemente, a Agência de Cibersegurança e Segurança de Infraestrutura dos Estados Unidos, a CISA, determinou no início de abril que órgãos federais reforçassem a proteção de instâncias do FortiClient Enterprise Management Server contra uma falha de bypass de autenticação que vinha sendo explorada ativamente, a
CVE-2026-35616
.
Ao todo, a CISA já adicionou 24 vulnerabilidades da Fortinet ao seu catálogo de falhas de segurança exploradas ativamente nos últimos anos.
Dessas, 13 também foram abusadas em ataques de ransomware.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...