Código de exploração público surge para vulnerabilidade crítica de execução remota de comandos no FortiSIEM da Fortinet

Foi divulgado a 20 de outubro código de prova de conceito público para a CVE-2026-106173, vulnerabilidade crítica de execução remota de comandos não autenticada no FortiSIEM, plataforma de gestão de segurança de informação de eventos da Fortinet. A empresa通告 a falha a 13 de outubro, através do aviso FG-IR-26-180.

Segundo a análise técnica do investigador Zach Hanley, da Horizon3.ai, a falha reside numa validação incorreta de nomes de caminho no serviço gRPC do FortiSIEM, exposto pelo componente phQueryMaster na porta TCP 27918. O serviço liga-se a todas as interfaces e não exige que os clientes apresentem certificados, o que permite a um atacante com acesso de rede alcançar a funcionalidade vulnerável sem autenticação.

O código de exploração publicado demonstra como encadear traversão de caminhos e escrita arbitrária de ficheiros para sobrescrever scripts executados por tarefas agendadas. Os investigadores identificaram como alvo prático o script /opt/charting/redishb.sh, invocado por uma tarefa cron de 60 em 60 segundos, convertendo assim a escrita de ficheiros em execução agendada de comandos controlados pelo atacante. A Horizon3.ai referiu não ter encontrado registos de aplicação que identifiquem explicitamente exploração.

Os utilizadores do FortiSIEM 7.5.0 devem atualizar para a versão 7.5.1 ou superior, tendo a comunicação identificada indicado que o FortiSIEM 7.6 não é afetado. A restrição de acesso à porta TCP 27918 pode reduzir a exposição enquanto decorre a correção.

Porque importa

A disponibilidade de código de exploração público estabelece reprodutibilidade, mas não demonstra por si só exploração ativa, pelo que as equipas de segurança devem distinguir atividade maliciosa confirmada de mera exposição à vulnerabilidade. Com o FortiSIEM a ser usado para correlação de eventos de segurança, a eventual exploração pode afetar a integridade de componentes essenciais de monitorização.