Resumo
Fortinet publicou hoje um aviso sobre uma vulnerabilidade de bypass de autenticação em FortiOS (CVE-2026-22153) que, em configurações específicas de LDAP que permitem binds anônimos, pode permitir acesso não autorizado a políticas Agentless VPN e FSSO. A empresa recomenda atualização imediata para mitigar riscos em ambientes com integração LDAP.
Onde está o problema
Segundo o comunicado publicado hoje, a falha está no daemon fnbamd do FortiOS e foi classificada sob o CWE-305 (Authentication Bypass by Primary Weakness). O vetor exige configurações de servidor LDAP que permitam unauthenticated binds; nessas condições, requisições mal tratadas podem ser usadas para contornar a autenticação.
Impacto e gravidade
Fortinet coloca a vulnerabilidade como de alta severidade (CVSS v3.1 referido no aviso). O componente afetado é acessível via rede e o cenário de exploração envolve complexidade moderada, mas o impacto prático — bypass de controles de autenticação usados por SSL‑VPNs e políticas FSSO — pode permitir acesso indevido a redes internas ou recursos protegidos quando a integração LDAP está exposta.
Versões afetadas e solução
- Vulneráveis: FortiOS 7.6.0 até 7.6.4.
- Não afetadas: ramos 8.0, 7.4, 7.2, 7.0 e 6.4.
- Solução: atualizar para FortiOS 7.6.5 ou superior, seguindo o fluxo de upgrade documentado pela Fortinet.
Mitigações temporárias
Enquanto a atualização é aplicada, o aviso indica que desabilitar binds anônimos no servidor LDAP reduz a superfície de ataque. Em ambientes Windows Active Directory (Server 2019+), o fornecedor sugere o ajuste via PowerShell para negar binds não autenticados — o próprio comunicado inclui um snippet para essa configuração.
Origem e divulgação
A falha foi descoberta por Jort Geurts, da Actemium Cyber Security Team, e reportada via disclosure responsável. A Fortinet publicou o advisory hoje (referenciado como FG-IR-25-1052) e enfatiza a necessidade de patch imediato, em especial para deployments de SSL‑VPN que dependem de LDAP.
Observações operacionais
Organizações que usam políticas Agentless VPN ou Fortinet Single Sign‑On devem priorizar verificação de configuração: identificar dispositivos em 7.6.x expostos à Internet, checar integrações LDAP que permitam binds anônimos e agendar atualização para 7.6.5+. Logs de autenticação e telemetria de fnbamd devem ser revisados para detectar tentativas anômalas de bind. Se a atualização imediata não for possível, isolar administrativamente esses appliances e restringir acesso de gerenciamento por IP/VPN e regras de firewall é aconselhável.
O que falta saber
O advisory não reporta exploração ativa no momento da publicação; o risco central é que ambientes mal configurados exponham controles de autenticação. Ainda assim, a presença de componentes VPN/SSO nesse caminho faz com que operações de mitigação rápida sejam necessárias para reduzir exposição.
Link da fonte
Informações baseadas no advisory e cobertura do Cyber Security News publicados hoje.