Detalhes técnicos
O problema é descrito como uma falha de relative path traversal (CWE-23) que permite a um atacante não autenticado executar comandos administrativos arbitrários através de requisições HTTP/HTTPS especialmente forjadas. A Fortinet publicou advisory FG-IR-25-910 confirmando que múltiplas versões do FortiWeb são afetadas, incluindo firmwares até 7.4.7 e 7.6.5.
Catalogação e prazo de remediação
A vulnerabilidade foi adicionada ao Known Exploited Vulnerabilities (KEV) da CISA em 14 de novembro de 2025. O item do catálogo estabelece um prazo até 21 de novembro para que agências federais apliquem mitigação ou retirem dispositivos afetados do uso — orientação que reforça a criticidade do problema.
Riscos observados
Exploração bem-sucedida pode levar a comprometimento total do dispositivo, exfiltração de dados ou instalação de malware. Pesquisadores reportaram exploração em ambientes reais e alvos em setores como finanças e saúde, segundo as fontes. A Fortinet recomenda atualização imediata para as versões que corrigem o problema (por exemplo, 7.4.8 ou 7.6.6) e medidas adicionais como restringir acesso administrativo via segmentação de rede.
Citação e recomendações de resposta
“This path traversal bug is a classic but dangerous oversight in file handling,” disse Maria Chen, pesquisadora citada pelas fontes. “Unauthenticated access to admin functions turns a WAF meant to protect web apps into a backdoor for attackers.”
Para instâncias em nuvem, a CISA lembra a adesão à Binding Operational Directive (BOD) 22-01. Organizações que não conseguem aplicar patch de imediato devem isolar os dispositivos afetados, monitorar por padrões anômalos de tráfego HTTP e sinais de execução de comandos não autorizados, além de buscar indicadores de comprometimento divulgados por suas fontes de inteligência.
Limitações das informações
As publicações não revelam o método inicial da descoberta da falha e afirmam que, na investigação, a Fortinet não detectou vazamento de dados de clientes. Também não há nos relatos números absolutos de equipamentos afetados ou métricas amplas de impacto global.
Conclusão prática
Dada a presença de exploração ativa, a combinação de patch urgente (para 7.4.8/7.6.6), isolamento de dispositivos que não possam ser atualizados e monitoramento de rede é a abordagem indicada pelas fontes. A inclusão no KEV e o prazo definido pela CISA tornam a questão uma prioridade operacional para equipes responsáveis por FortiWeb em produção.