FortiWeb (CVE-2025-64446): exploração ativa permite criação de admins
Pesquisas e avisos oficiais confirmam exploração ativa de uma falha crítica em FortiWeb que permite a criação de contas administrativas sem autenticação. A falha está sendo usada em campanhas de varredura massiva contra appliances expostos.
Descoberta e escopo / O que mudou agora
WatchTowr Labs detalhou a cadeia de exploração em 13 de novembro de 2025; Fortinet publicou um advisory PSIRT (FG-IR-25-910) e atribuiu CVE-2025-64446. A vulnerabilidade é uma combinação de path traversal e bypass de autenticação que permite acesso ao binário fwbcgi, usado pelo WAF. A CVSS v3.1 atribuída foi 9.1 (Critical) e a CISA incluiu o CVE em seu catálogo Known Exploited Vulnerabilities, o que aponta para risco operacional elevado.
Vetor e exploração / Mitigações
O vetor inicial é um path traversal em um endpoint da GUI API (ex.: POST /api/v2.0/cmdb/system/admin%3F/../../../../../cgi-bin/fwbcgi). Quando bem-sucedido, o atacante alcança fwbcgi e manipula headers CGIINFO (Base64 contendo credenciais fictícias) para burlar cgi_auth(). A técnica permite inserir payloads JSON que criam usuários com perfil prof_admin, escopo 0.0.0.0/0 e senhas definidas pelo invasor, garantindo persistência sem necessidade de chaves SSH.
- Mitigação imediata indicada pela Fortinet: desabilitar HTTP/HTTPS em interfaces de gestão expostas à Internet.
- Atualizar para as versões corrigidas listadas pela fabricante (por exemplo 8.0.2+ para a série 8.0, 7.6.5+ etc.).
- Caçar sinais de comprometimento: criação de usuários não autorizados, entradas atípicas do fwbcgi, URIs com traversal e User-Agent python-urllib3.
Impacto e alcance / Setores afetados
FortiWeb é amplamente usado como WAF em perímetros corporativos e provedores; appliances comprometidos permitem controle administrativo do WAF, criação de backdoors e potencial movimento lateral em ambientes Fortinet (incluindo proxies ou integrações). Relatos citam varreduras indiscriminadas globais, o que implica risco para setores com exposição pública de consoles de gestão: infraestrutura crítica, provedores de hospedagem, serviços financeiros e grandes corporações com gestão centralizada de tráfego web.
Limites das informações / O que falta saber
Não há confirmação pública de execução remota além da criação de contas administrativas (ou seja, RCE não confirmado além do contexto do fwbcgi). Tampouco há dados públicos detalhando campanhas de extorsão ou incidentes de impacto direto a clientes. Informações sobre vetores secundários de persistência ou exploração em ambientes híbridos ainda são fragmentadas.
Repercussão / Próximos passos
Organizações com FortiWeb exposto devem priorizar inventário de gestores acessíveis pela Internet, aplicar os updates oficiais imediatamente e monitorar logs de auditoria. A inclusão no catálogo KEV da CISA implica prazos regulatórios nos EUA; defensores devem também revisar regras de WAF, segmentar interfaces de gestão e praticar resposta a incidentes focada em remoção de contas administrativas maliciosas.
Resumo técnico
Exploração via path traversal + CGIINFO base64 → acesso a fwbcgi → criação de prof_admin e persistência. CVSS 9.1; versões corrigidas disponíveis; mitigação: desabilitar gestão HTTP/HTTPS e atualizar.