A campanha conhecida como FortiBleed continua activa. Um alerta conjunto do FBI e dos serviços secretos norte-americanos (U.S. Secret Service), noticiado pela Help Net Security, indica que algumas organizações atingidas deixaram de conseguir entrar na administração das suas próprias firewalls Fortinet. Os atacantes não se limitam a entrar no equipamento: tomam conta dele e afastam quem o gere.
O que está em causa
O alvo são as firewalls FortiGate e os gateways de VPN SSL da Fortinet que estão acessíveis a partir da internet. São os equipamentos que fazem a fronteira entre a rede da empresa e o exterior e que, na maioria dos casos, permitem o acesso remoto de quem trabalha fora do escritório.
O alerta apoia-se em dados da SOCRadar, que confirmou mais de 86.644 equipamentos comprometidos em 194 países. Não são tentativas de ataque: são dispositivos verificados como comprometidos.
A fonte não descreve a falha técnica explorada nem as versões afectadas. Esse pormenor tem de ser confirmado nos avisos de segurança publicados pela própria Fortinet.
Porque importa
Uma firewall comprometida é mais grave do que um computador infectado. Todo o tráfego da empresa passa por ela, é lá que estão as credenciais da VPN e é um equipamento onde normalmente não corre antivírus nem outra ferramenta de detecção. Na mesma semana, Christiaan Beek, da Rapid7, explicou numa entrevista sobre o malware BPFDoor que os atacantes procuram precisamente equipamentos de periferia onde não é possível instalar agentes de protecção.
O FortiBleed não é um caso isolado. A CISA acrescentou ao seu catálogo de falhas activamente exploradas uma nova vulnerabilidade dos NetScaler da Citrix (CVE-2026-88779), que permite deitar abaixo os equipamentos. A SonicWall corrigiu quatro falhas na série SMA 1000, uma das quais (CVE-2026-102255) pode ser explorada sem autenticação. O padrão é claro: o perímetro da rede tornou-se um dos alvos preferidos.
A Patch Tuesday chega ao mesmo tempo
A Microsoft publica as suas correcções mensais na Patch Tuesday de Outubro. A previsão da Help Net Security antecipa trabalho de limpeza no Office e recorda que a edição de Setembro bateu o recorde, com 973 vulnerabilidades corrigidas em todo o portefólio da Microsoft.
A Microsoft lançou ainda, fora do calendário habitual, uma correcção para o Exchange Server (CVE-2026-96940). Trata-se de uma falha de gravidade alta que pode permitir a um utilizador autenticado ler mensagens e anexos de outros utilizadores da mesma organização.
Com este volume de actualizações, o risco é que as equipas se concentrem nos postos de trabalho e nos servidores Windows e adiem as firewalls, que não fazem parte do ciclo da Microsoft. A janela de manutenção desta semana deve servir para tratar as duas frentes em conjunto.
Em números
O que muda para as empresas
Para a maioria das empresas, a firewall é o equipamento que menos atenção recebe depois de instalado, e é precisamente esse que está a ser atacado. Um equipamento comprometido dá ao atacante uma posição privilegiada dentro da rede, acesso às ligações VPN e, como mostra o alerta norte-americano, a possibilidade de impedir a própria empresa de o gerir.
Na prática, a actualização das firewalls deixa de poder esperar pela próxima revisão anual. Tem de entrar na mesma rotina mensal que já se aplica ao Windows e ao Office, e alguém na organização tem de ser responsável por ela.
O que recomendamos
Esta semana, peça à sua equipa ou ao seu fornecedor de IT que faça uma lista de todas as firewalls FortiGate e acessos VPN SSL expostos à internet, consulte os avisos de segurança da Fortinet e aplique as actualizações disponíveis. Peça também que confirmem que conseguem entrar na administração de cada equipamento, que verifiquem se existem contas de administrador ou alterações de configuração que ninguém reconhece e que retirem a interface de gestão do acesso público à internet. Se algum equipamento já não aceitar o acesso de administração, trate o caso como um incidente de segurança e não como uma avaria.
Aproveite a mesma janela para aplicar as correcções da Patch Tuesday e a do Exchange Server, se o tiver em instalações próprias, e para renovar as credenciais de acesso VPN com autenticação multifactor. Se não tiver meios internos para fazer esta verificação, a MCIT ou outro parceiro de confiança pode fazê-la consigo, mas o essencial é que fique feita esta semana.
Falar connoscoArtigo preparado com apoio de inteligência artificial, revisto e aprovado por Marco Cerruti, MCIT.
