Notícias
ALERTA 50/2026
[TLP:CLEAR]
1. Foi identificada uma campanha maliciosa em larga escala denominada FortiBleed, envolvendo o comprometimento e exposição de credenciais associadas a dispositivos Fortinet, incluindo firewalls e gateways VPN SSL. Observou-se que a exploração dessas credenciais pode permitir que agentes maliciosos obtenham acesso remoto não autorizado aos dispositivos afetados e às redes conectadas, além de possibilitar alterações em configurações críticas de segurança.
As vulnerabilidades associadas ao incidente são descritas na Common Vulnerabilities and Exposures (CVE):
https://nvd.nist.gov/vuln/detail/CVE-2024-55591
https://www.cve.org/CVERecord?id=CVE-2024-55591
https://nvd.nist.gov/vuln/detail/CVE-2025-59718
https://www.cve.org/CVERecord?id=CVE-2025-59718
https://nvd.nist.gov/vuln/detail/CVE-2025-59719
https://www.cve.org/CVERecord?id=CVE-2025-59719
2. Conforme informações divulgadas pelo Centro Canadense de Segurança Cibernética (Canadian Centre for Cyber Security), o incidente afeta dispositivos Fortinet expostos à Internet que possuam credenciais comprometidas ou que não tenham aplicado as correções relacionadas às vulnerabilidades conhecidas de elevação de privilégios e bypass de autenticação.
Os produtos potencialmente afetados incluem:
- Produto: FortiGate Firewall
- Produto: Fortinet SSL VPN Gateway
- Produto: Dispositivos Fortinet integrados ao FortiCloud
As instituições devem consultar a documentação oficial do fabricante para identificar as versões específicas afetadas e os respectivos patches de correção.
3. O CTIR Gov recomenda que as instituições adotem imediatamente as seguintes medidas de mitigação:
- Inventariar todas as contas existentes nos dispositivos Fortinet;
- Identificar e remover contas não autorizadas ou suspeitas, incluindo contas de sincronização ou suporte de terceiros;
- Restringir o acesso às interfaces administrativas apenas a redes e hosts confiáveis;
- Encerrar todas as sessões administrativas e VPN SSL ativas;
- Redefinir as senhas de todas as contas administrativas e VPN;
- Implementar autenticação multifator (MFA) em todos os acessos administrativos e gateways externos;
- Verificar e aplicar as atualizações de firmware mais recentes disponibilizadas pela Fortinet;
- Garantir a correção das vulnerabilidades CVE-2024-55591, CVE-2025-59718 e CVE-2025-59719;
- Revisar logs e indicadores de comprometimento para identificar acessos não autorizados.
Estas vulnerabilidades podem afetar componentes, bibliotecas ou implementações utilizados por diferentes produtos. Para mais informações, consulte as referências abaixo:
https://fortiguard.fortinet.com/psirt
https://nvd.nist.gov/vuln/detail/CVE-2024-55591
https://nvd.nist.gov/vuln/detail/CVE-2025-59718
https://nvd.nist.gov/vuln/detail/CVE-2025-59719
4. Resumo sobre criticidade:
- Campanha ativa de exploração: SIM
- Credenciais potencialmente comprometidas: Aproximadamente 75.000 dispositivos reportados em fontes abertas
- Impacto potencial: Acesso remoto não autorizado, comprometimento de contas administrativas, alteração de configurações de segurança e movimentação lateral na rede
- Recomendação: Aplicação imediata das medidas de mitigação e atualização dos dispositivos afetados
a) O que é uma campanha de comprometimento de credenciais?
Trata-se de uma atividade maliciosa em que credenciais válidas de usuários ou administradores são obtidas por agentes maliciosos e utilizadas para acessar sistemas sem autorização. O uso de credenciais legítimas pode dificultar a detecção da atividade pelos mecanismos tradicionais de segurança.
b) O que é uma vulnerabilidade de bypass de autenticação?
É uma falha que permite a um atacante contornar mecanismos de autenticação, obtendo acesso a recursos protegidos sem a necessidade de credenciais válidas.
c) O que é uma vulnerabilidade de elevação de privilégios?
É uma falha que permite a um usuário ou processo obter permissões superiores às originalmente concedidas, possibilitando a execução de ações administrativas ou críticas no sistema.
5. O CTIR Gov reforça a importância da adoção das boas práticas de segurança cibernética, em especial:
- Consolidar, monitorar e defender gateways de Internet;
- Corrigir sistemas operacionais, aplicações e dispositivos de rede;
- Garantir a gestão adequada de privilégios administrativos;
- Reforçar a segurança de sistemas operacionais e aplicações;
- Implementar autenticação multifator em serviços expostos à Internet.
6. O CTIR Gov ressalta que, de acordo com o artigo 12, inciso IX, do Decreto Nº 10.748, de 16 de julho de 2021, os órgãos pertencentes à ReGIC devem "sanar, com urgência, as vulnerabilidades cibernéticas, em especial aquelas identificadas nos alertas e nas recomendações", conforme publicado em: https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/decreto/d10748.htm
7. Informações sobre a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC): https://www.gov.br/ctir/regic
8. Informações sobre o Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST): https://www.gov.br/ctir/tlp
Equipe CTIR Gov.
[TLP:CLEAR]