Pesquisadores da Horizon3.ai documentaram uma cadeia de vulnerabilidades em FortiSIEM que permite execução remota de comandos como administrador e escalada posterior para root por meio de sobrescrita de arquivos e abuso de cronjobs.
O que foi publicado agora
A análise técnica publicada e amplamente resumida por Cyber Security News em 14/01/2026 detalha o caminho de exploração atribuído a CVE‑2025‑64155 (lista sob o identificador do fabricante FG‑IR‑25‑772). A cadeia combina uma falha de injeção de argumentos que possibilita escrita arbitrária de arquivos e execução como usuário admin com uma segunda etapa que permite escalada a root via sobrescrita de um script executado pelo crontab do sistema.
Técnica de exploração
O vetor explora o serviço phMonitor do FortiSIEM (comunicação inter‑papéis em porta TCP 7900). Mensagens malformadas que indicam um tipo de armazenamento "elastic" fornecem tags XML controladas pelo usuário (por exemplo, cluster_url) que acabam sendo repassadas para o script /opt/phoenix/phscripts/bin/elastic_test_url.sh. Apesar do programa envolver wrappers como subprocess.run() e mecanismos de escape, o uso da opção --next do curl foi identificado como forma de encadear requisições que sobescrevem binários locais — exemplo citado: escrever um payload em /opt/phoenix/bin/phLicenseTool, que é executado repetidamente como reverse shell, garantindo acesso como admin.
Escalada para root
Com shell admin, o pesquisador demonstrou que a crontab do sistema (/etc/cron.d/fsm-crontab) executa periodicamente /opt/charting/redishb.sh com privilégios de root, mas o arquivo é gravável pelo usuário admin. A sobrescrita desse script permite a execução de código com privilégios de root, resultando em compromisso total do sistema.
Versões afetadas e correções
O relatório inclui uma tabela de versões e recomendações de atualização. Entre as observações destacadas:
- Versões 7.3.0–7.3.1, 7.2.0–7.2.5, 7.1.0–7.1.7 e 7.0.0–7.0.3 estavam listadas como afetadas, com versões corretivas indicadas (por exemplo, atualizar para 7.3.2+, 7.2.6+, 7.1.8+, 7.0.4+ respectivamente).
- Versões 6.6 e anteriores foram indicadas como todas afetadas, com recomendação de migrar para releases corrigidos.
Indicadores e resposta
O texto cita indicadores de comprometimento técnicos que organizações devem monitorar: entradas de erro no log /opt/phoenix/log/phoenix.logs (PHL_ERROR) contendo sinais de abuso de elastic_test_url.sh, URLs maliciosas e nomes de arquivos alvo (por exemplo, tentativas de sobrescrever phLicenseTool). Fortinet também recomendou restrição de acesso à porta 7900 e aplicação imediata de atualizações divulgadas pelo fornecedor.
Repercussão e contexto
Horizon3.ai documenta um histórico de pesquisa sobre o FortiSIEM, citando divulgações anteriores (CVE‑2023‑34992, CVE‑2024‑23108). Embora a falha descrita não apareça na lista CISA Known Exploited Vulnerabilities no texto citado, o relatório menciona referências a essas falhas em chats vazados do Black Basta em 2025, sugerindo interesse de atores de ameaça.
O que as equipes de segurança devem priorizar
Com base no material publicado: validar exposição da instância FortiSIEM (restrição de portas administrativas como 7900), aplicar os patches e versões corretivas indicadas pelo fornecedor, auditar logs em busca de PHL_ERROR correlacionados e checar integridade de binários em /opt/phoenix/bin/ e scripts acionados por cron. O relatório também refere a existência de PoC público no repositório do pesquisador (GitHub) — equipes de defesa devem considerá‑la ao priorizar aplicação de correções e mitigadores compensatórios.
Fontes
Análise técnica divulgada por Horizon3.ai e sumarizada em Cyber Security News — 14/01/2026. PoC citada em repositório público do pesquisador.