Descoberta e evidências
O problema foi destacado originalmente a partir de um PoC publicado após captura em honeypots; a prova de conceito foi divulgada por equipes de deception/honeypot em outubro de 2025. Testes subsequentes por firmas de segurança confirmaram que o exploit pode criar usuários administrativos (ex.: "hax0r") em versões vulneráveis.
Versões afetadas e comportamento
As análises técnicas relatam diferenças de resposta entre versões: FortiWeb 8.0.1 (lançada em agosto de 2025) aceita o exploit e responde com HTTP 200 retornando JSON com detalhes do novo administrador; já a versão 8.0.2 (disponibilizada no final de outubro de 2025) responde com HTTP 403 e impede a criação, indicando alteração comportamental que mitiga o vetor, segundo os testes públicos.
Vetores e impacto
O vetor aparente envolve uma condição de path traversal que permite execução remota sem autenticação, abrindo caminho para compromisso completo do aparelho e subsequente movimento lateral. Dado o papel do FortiWeb como WAF, a exploração pode permitir que atacantes desativem ou manipulem defesas que deveriam bloquear tráfego malicioso contra aplicações web.
Exploração em produção e postura do fornecedor
Relatos apontam para exploração em ambiente real desde outubro de 2025, com escaneamento global e tentativas de spraying a partir de IPs em várias regiões. Até 13 de novembro de 2025, as fontes registram ausência de guia oficial ou CVE publicado pelo fornecedor no feed PSIRT, o que eleva a urgência de mitigação por parte de equipes de defesa.
Detecção e mitigação recomendadas
- Priorizar atualização para FortiWeb 8.0.2 onde possível; testes públicos indicam resistência ao PoC nessa versão.
- Isolar interfaces de gerenciamento do FortiWeb da exposição pública (VPNs/ACLs) até aplicar correções.
- Verificar logs por criação súbita de usuários administrativos e investigar qualquer JSON de resposta que contenha credenciais ou perfis inéditos.
- Empregar scanners internos para detectar instâncias expostas e aplicar regras de bloqueio até confirmação de remediação.
Limites e próximos passos
As fontes citadas relatam provas de conceito e observações de exploração, mas não mencionam um CVE público ou comunicado oficial do fornecedor até a data referida. Pesquisadores divulgaram ferramentas para identificar instâncias vulneráveis (por exemplo, através da geração de usuários admin via teste), e as equipes de segurança devem acompanhar os canais oficiais do fornecedor para boletins e correções formais.