Descrição da vulnerabilidade e impacto
A Fortinet divulgou uma falha de alta severidade na validação de certificados no portal ZTNA (Zero Trust Network Access) sem agente do FortiOS e FortiProxy. Rastreada como CVE-2026-84393 e documentada sob o advisory FG-IR-26-174, a questão foi publicada em 8 de setembro de 2026 e carrega uma pontuação CVSSv3 de 7.3.
A vulnerabilidade decorre de uma fraqueza de validação de certificado inadequada, classificada como CWE-295, dentro do componente do portal ZTNA sem agente. Portais Zero Trust Network Access são projetados para intermediar conexões seguras e verificadas por identidade entre usuários finais e aplicativos internos, sem exigir um cliente VPN completo.
Quando a validação de certificado na conexão de back-end não impõe corretamente a validação de certificado, um atacante na rede pode apresentar um certificado forjado ou incompatível e passar despercebido. Isso abre caminho para um cenário clássico de man-in-the-middle (MITM), onde o atacante fica entre o portal ZTNA e o site de destino, observando ou manipulando silenciosamente a sessão enquanto ambas as extremidades acreditam que a conexão é confiável.
A Fortinet classificou o impacto resultante como divulgação de informações, já que um atacante bem-sucedido poderia potencialmente ver dados sensíveis transitando pelo canal comprometido, incluindo detalhes de sessão ou conteúdo de aplicativos, sem precisar de credenciais de autenticação.
Vetor de ataque e alcance da exposição
O vetor de ataque é não autenticado, o que significa que nenhum acesso prévio ou login válido é necessário, o que aumenta o risco prático para organizações que expõem portais ZTNA a segmentos de rede menos confiáveis. A falha afeta um intervalo relativamente estreito de lançamentos. No lado do FortiOS, as versões 7.6.1 a 7.6.6 são vulneráveis, enquanto as ramificações FortiOS 8.0, 7.4 e 7.2 são confirmadas como não afetadas.
O FortiProxy tem uma pegada semelhante, com versões 7.6.2 a 7.6.6 expostas, enquanto FortiProxy 8.0, 7.4 e 7.2 permanecem não afetados. A Fortinet recomendou que administradores executando a ramificação 7.6 afetada de qualquer produto devem atualizar para a versão 7.6.7 ou posterior. O fornecedor também apontou os clientes para sua ferramenta de caminho de atualização oficial para ajudar a planejar uma migração suave sem interromper as políticas ZTNA existentes.
Análise técnica da falha de validação
A falha de validação de certificado no contexto de ZTNA é particularmente preocupante porque esses portais são tipicamente voltados para a internet ou expostos a zonas semi-confiáveis por design. A ausência de validação adequada de certificados no canal de comunicação entre o portal e o destino permite que um atacante na rede intercepte o tráfego.
Em um cenário de ataque, o invasor pode se posicionar na rede e apresentar um certificado autoassinado ou emitido por uma autoridade de certificação não confiável. Como o FortiOS/FortiProxy não valida corretamente o certificado do servidor de destino, a conexão é estabelecida sem alertar o usuário ou o administrador. Isso permite a interceptação de dados sensíveis, como credenciais de login, tokens de sessão ou informações confidenciais transmitidas durante a sessão.
A classificação CVSSv3 de 7.3 reflete a severidade significativa da falha, considerando o vetor de ataque não autenticado e o impacto de divulgação de informações. Embora não haja evidências de que o CVE-2026-84393 tenha sido explorado na natureza, a natureza não autenticada do vetor aumenta a exposição até que a remediação seja concluída.
Recomendações de mitigação e correção
Para organizações que dependem do ZTNA sem agente no FortiOS 7.6.1 a 7.6.6 ou FortiProxy 7.6.2 a 7.6.6, a priorização do patch para a versão 7.6.7 deve ser imediata. Não tratar esta falha como uma atualização de manutenção rotineira é crucial, dado o caminho de ataque não autenticado que aumenta significativamente a exposição.
Além da atualização, as equipes de segurança devem considerar a implementação de monitoramento de rede para detectar tráfego anômalo que possa indicar tentativas de ataque MITM. A revisão das políticas de segurança de rede e a verificação da configuração de validação de certificados nos portais ZTNA também são recomendadas.
A Fortinet também forneceu ferramentas de atualização oficial para ajudar os clientes a planejar a migração sem interromper as políticas ZTNA existentes. É essencial testar a atualização em um ambiente isolado antes da implantação em produção para garantir a compatibilidade com as configurações atuais.
Conclusão e implicações para a segurança de rede
A vulnerabilidade no FortiOS e FortiProxy destaca a importância crítica da validação de certificados em soluções de acesso de rede zero trust. A falha permite que atacantes interceptem comunicações seguras sem autenticação, comprometendo a confidencialidade e integridade dos dados.
Para CISOs e equipes de segurança, a lição é clara: a configuração de validação de certificados deve ser rigorosamente auditada e monitorada. A atualização para a versão corrigida deve ser a prioridade máxima para todas as instalações afetadas, e a monitoração de tráfego de rede deve ser intensificada para detectar atividades suspeitas.