A CVE-2025-68686 é uma vulnerabilidade de exposição de informações sensíveis no FortiOS SSL-VPN que permite a um atacante remoto não autenticado contornar o patch original desenvolvido para impedir a persistência por links simbólicos em dispositivos FortiGate comprometidos. A CISA adicionou a falha ao catálogo Known Exploited Vulnerabilities (KEV) em 27 de julho de 2026 e fixou o prazo de remediação para 10 de agosto de 2026, confirmando que a vulnerabilidade já está sendo explorada ativamente.
A falha, classificada como CWE-200, afeta o módulo SSL-VPN do FortiOS em versões desde a 6.4 até a 7.6.1. O fabricante Fortinet publicou o aviso de segurança FG-IR-25-934 com as versões corrigidas e um patch virtual disponível no FortiGuard. Por se tratar de um bypass de um patch anterior, qualquer dispositivo que tenha sofrido exploração prévia continua vulnerável mesmo após aplicar a correção original. A exploração bem-sucedida exige que o atacante já tenha comprometido o dispositivo em nível de sistema de arquivos por meio de outra vulnerabilidade, mas isso não reduz a urgência: a janela de remediação é de apenas três dias.
Vetor técnico da falha
A vulnerabilidade CVE-2025-68686 explora um mecanismo de persistência baseado em links simbólicos que atacantes usam para manter acesso a dispositivos FortiGate após a exploração inicial. O patch anterior desenvolvido pela Fortinet visava bloquear esse mecanismo, mas a nova falha permite contorná-lo por meio de requisições HTTP manipuladas, devolvendo ao atacante a capacidade de ler arquivos sensíveis no sistema.
O vetor de ataque exige acesso à rede e não requer autenticação. O fabricante atribuiu a pontuação CVSS 3.x de 5,9 (MEDIUM), com vetor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N. A complexidade de ataque é alta porque a exploração depende de um comprometimento prévio no nível do sistema de arquivos. Ainda assim, a CISA confirmou exploração ativa, o que significa que atacantes já combinam essa falha com outras vulnerabilidades para manter persistência em redes comprometidas. Dispositivos que nunca tiveram o SSL-VPN habilitado não são afetados.
Versões afetadas e correção
A tabela abaixo resume as versões afetadas e as respectivas soluções recomendadas pela Fortinet:
| Linha do FortiOS | Versões afetadas | Solução |
|---|---|---|
| FortiOS 7.6 | 7.6.0 a 7.6.1 | Atualizar para 7.6.2 ou superior |
| FortiOS 7.4 | 7.4.0 a 7.4.6 | Atualizar para 7.4.7 ou superior |
| FortiOS 7.2 | Todas as versões | Migrar para versão corrigida |
| FortiOS 7.0 | Todas as versões | Migrar para versão corrigida |
| FortiOS 6.4 | Todas as versões | Migrar para versão corrigida |
A Fortinet recomenda seguir o caminho de upgrade oficial usando a ferramenta em docs.fortinet.com/upgrade-tool. Para organizações que não conseguem atualizar imediatamente, está disponível um patch virtual denominado FG-VD-60389.0day. no FortiGate Managed Web Application Firewall, incluído na atualização de banco de dados FMWP 26.033.
Impacto e exploração ativa
A CISA marcou a CVE-2025-68686 com exploração ativa no registro SSVC mantido no NVD, atualizando o estado de exploração de nenhum para ativo em 27 de julho de 2026. Isso significa que a vulnerabilidade não é meramente teórica: atacantes já a utilizam em campanhas reais contra dispositivos FortiGate expostos à internet.
A vulnerabilidade tem relação direta com o histórico de ataques a Fortinet, que inclui campanhas de ransomware que exploraram falhas de SSL-VPN para roubo de credenciais e movimentação lateral. Esse padrão de ataque já foi documentado em casos envolvendo grupos como INC Ransomware e Lynx, que utilizam dispositivos FortiGate comprometidos como ponto de entrada. O bypass de patch torna dispositivos parcialmente corrigidos tão expostos quanto dispositivos sem qualquer correção, o que amplia significativamente a superfície de risco para organizações que aplicaram apenas o patch original. Para entender melhor esse padrão de ataque, vale revisar como o roubo de credenciais em firewalls Fortinet tem alimentado campanhas de ransomware.
Checklist de remediação
Organizações que operam dispositivos FortiGate devem executar os seguintes passos antes do prazo de 10 de agosto de 2026:
- Inventariar dispositivos: listar todos os FortiGate com SSL-VPN habilitado e verificar a versão do FortiOS no canto superior direito da interface web.
- Verificar exposição à internet: confirmar quais dispositivos têm interfaces SSL-VPN acessíveis externamente e priorizar a correção desses ativos.
- Atualizar o firmware: aplicar a versão corrigida correspondente conforme a tabela de versões afetadas, seguindo o caminho de upgrade recomendado.
- Aplicar o patch virtual: instalar a atualização do banco de dados FMWP 26.033 no FortiGate Managed WAF se a atualização de firmware não for imediata.
- Investigar comprometimento prévio: realizar triagem forense em dispositivos que tiveram SSL-VPN exposto, procurando indicadores de persistência por links simbólicos no sistema de arquivos.
- Desabilitar SSL-VPN se não utilizado: dispositivos que não necessitam de VPN baseada em SSL devem ter o recurso desativado para eliminar a superfície de ataque.
- Documentar a remediação: registrar as versões aplicadas e os resultados da triagem forense para cumprir os requisitos da diretiva BOD 26-04 da CISA.
Organizações sujeitas à diretiva BOD 26-04 da CISA devem cumprir o prazo de 10 de agosto e garantir aderência aos requisitos de triagem forense estipulados pela agência. A não conformidade significa risco regulatório e operacional, já que a exploração ativa torna cada dispositivo não corrigido um alvo imediato.