VKSECURITY Firewall da Fortinet aceitava qualquer senha: entenda a falha e o que fazer
Uma falha crítica no FortiWeb (CVE-2026-26035, nota 8.8) deixava um invasor entrar no painel de administração com usuário e senha aleatórios. A correção já saiu — e a lição vale para todo equipamento de borda.
Saiu nesta semana uma correção da Fortinet que merece atenção de quem tem um firewall dela protegendo a empresa — e o motivo é quase irônico: a falha permitia entrar no painel de administração usando um usuário e uma senha aleatórios. Qualquer coisa digitada funcionava.
O que é a Fortinet e por que isso é grave
A Fortinet é uma das maiores fabricantes de equipamentos de segurança de rede do mundo — os firewalls e appliances que ficam na “porta de entrada” da rede de milhares de empresas brasileiras, decidindo o que entra e o que sai. O produto afetado aqui é o FortiWeb, um firewall especializado em proteger aplicações e sites (um WAF, na sigla técnica).
O problema tem nome: CVE-2026-26035, com nota de gravidade 8.8 de 10 — ou seja, crítico. A falha está no mecanismo de login administrativo quando o equipamento usa autenticação remota via RADIUS com uma opção específica (“wildcard”) ligada. Nessa configuração, um invasor remoto e não autenticado conseguia acessar a interface gráfica ou a linha de comando com nome de usuário e senha aleatórios — e, com isso, assumir o controle administrativo do próprio equipamento de segurança.
Pare um segundo nessa ideia: o aparelho que existe para barrar invasores era a porta de entrada. É como descobrir que a fechadura do cofre abre com qualquer chave.
Quem está exposto
Versões afetadas do FortiWeb: 8.0, 7.6, 7.4, 7.2 e 7.0. A Fortinet já liberou as versões corrigidas:
- FortiWeb 8.0.3
- FortiWeb 7.6.7
- FortiWeb 7.4.12
- FortiWeb 7.2.13
Um alívio parcial: até a publicação não havia indício de exploração ativa dessa falha específica, e a configuração vulnerável (RADIUS com “wildcard”) não é a padrão — então nem todo FortiWeb está exposto. Mas “ainda não exploraram” tem prazo de validade: assim que uma correção sai, criminosos estudam o que ela conserta e correm atrás de quem ainda não atualizou.
O que fazer — sem pânico, com pressa
- Atualize o FortiWeb já, priorizando os equipamentos expostos à internet. Firewall exposto e desatualizado é o pior dos mundos.
- Confira se a autenticação RADIUS com “wildcard” está ligada. Se estiver e você não sabe por quê, esse é o sinal para agir agora.
- Trate o equipamento de borda como crítico. Firewall, VPN e WAF são justamente os alvos preferidos porque, dominados, dão acesso a tudo o que está atrás deles.
- Tenha um inventário de versões. A pergunta “quais dos nossos appliances estão em qual versão?” precisa ter resposta rápida — sem isso, cada boletim de vulnerabilidade vira uma caça ao tesouro.
O episódio é um bom lembrete de um princípio que repetimos sempre: segurança não é só o que você instala, é o que você mantém atualizado. O melhor firewall do mundo, rodando uma versão furada, vira porta escancarada. Na VKSECURITY, o acompanhamento de vulnerabilidades e a checagem de exposição do perímetro são parte do trabalho de consultoria — porque descobrir isso num boletim é bom; descobrir num incidente é caro.
Fontes
- Fortinet PSIRT — avisos de segurança (FortiWeb, CVE-2026-26035): fortiguard.com/psirt
- NVD — CVE-2026-26035: nvd.nist.gov
