Em 10 de novembro de 2026 a Fortinet publicou 89 novos advisories de segurança que tratam de quase 100 vulnerabilidades em seu portfólio de produtos. O lote inclui 17 falhas classificadas como críticas, com impactos que vão de execução arbitrária de código a bypass de autenticação e comprometimento de sessões.
Produtos e impactos principais
Os produtos que receberam o maior número de correções críticas foram FortiMail, FortiAuthenticator, FortiOS, FortiManager e FortiAnalyzer. Atualizações para FortiSASE e FortiClient também contemplam problemas de severidade crítica. Entre os efeitos destacados estão execução de código arbitrário, bypass de autenticação, acesso não autorizado entre VDOMs, comprometimento de contas de e-mail seguro e execução de comandos com privilégios de super-administrador.
Uma das falhas críticas que ganhou atenção é a CVE-2026-121529 no FortiClient. Ela resulta de configuração incorreta de CORS e, quando o FortiPAM está habilitado, permite que um atacante execute código arbitrário ao fazer a vítima acessar um site malicioso. Pesquisadores apelidaram informalmente o problema de “Fortinet2Shell”.
Artigos anteriores do Brainwork já discutiram o histórico de correções da Fortinet e a importância de manter processos de atualização ágeis; o lote de novembro reforça essa necessidade contínua. Para aprofundar o tema de vulnerabilidades em soluções da fabricante, veja também Fortinet e as Vulnerabilidades.
Exploração e contexto
A Fortinet informou que não identificou evidências de exploração ativa dessas vulnerabilidades específicas até o momento da publicação dos advisories. Cerca de 80 outras falhas de severidade alta foram corrigidas, abrangendo cross-site scripting, injeção de código, upload arbitrário de arquivos, negação de serviço, man-in-the-middle e escalonamento de privilégios.
Este lote de correções ocorre cerca de três semanas após a empresa anunciar o uso de modelos de IA de fronteira para auxiliar na identificação de defeitos durante o desenvolvimento. A abordagem complementa os métodos tradicionais e busca dar tempo para que os clientes apliquem as atualizações antes que detalhes completos sejam divulgados publicamente.
Administradores de ambientes Fortinet devem consultar diretamente a página do FortiGuard PSIRT para identificar as versões afetadas e os releases que contêm as correções. Cada advisory individual traz a matriz de versões impactadas, CVSS e orientações de mitigação específicas para o produto e componente em questão.
About the Author
