Se a sua empresa usa um firewall FortiGate, atualize agora o software FortiOS para 8.0.2, 7.6.8, 7.4.13 ou 7.2.14, conforme a linha em uso. Em 21 de outubro de 2026 a Fortinet anunciou que essas versões, disponíveis desde 22 de outubro, corrigem falhas críticas e de alta gravidade encontradas com a ajuda de modelos de IA de ponta, e que publicará os detalhes em 10 de novembro. Depois dessa data, todo atacante saberá onde procurar, e os equipamentos não atualizados viram alvos fáceis. A atualização normalmente exige uma janela de manutenção curta; adiá-la é o verdadeiro risco.

O que exatamente a Fortinet anunciou?

Carl Windsor, diretor de segurança da informação da Fortinet, publicou um aviso oficial intitulado «Fortinet Releases Security Hardening Release for Multiple Products». Ele diz que as correções vieram de um programa de testes de segurança que usa IA de ponta, conduzido com Anthropic, OpenAI, Google e SpaceX, ou seja, 4 organizações externas. A Fortinet ainda não publicou os números CVE nem as pontuações; eles aparecerão nos avisos PSIRT de 10 de novembro. No início deste mês escrevemos sobre uma falha explorada no FortiMail; esta liberação é mais ampla, porque abrange o próprio firewall.

Por que não esperar até 10 de novembro?

A própria Fortinet explica o motivo: ferramentas de IA agora ajudam atacantes a comparar a versão antiga com a nova, deduzir a falha pela diferença e construir um exploit funcional em horas ou dias, em vez de semanas. Publicar uma correção entrega parte do segredo, então os 19 dias entre 22 de outubro e 10 de novembro não são um prazo de carência seguro: são uma corrida. A Fortinet acrescenta que a IA também consegue encadear falhas de menor gravidade até torná-las exploráveis.

As empresas mais expostas são aquelas cuja equipe trabalha remotamente por VPN em um FortiGate, as que ligam filiais e depósitos à matriz por meio dele e as que administram seus equipamentos pela internet de fora do escritório. Nesses casos o equipamento fica visível para qualquer pessoa na internet, e é a primeira coisa que um atacante vai testar quando os detalhes saírem. Se um fornecedor externo gerencia seu equipamento, não presuma que ele o atualizou: peça confirmação por escrito do novo número de versão e da data da atualização.

De quais versões você precisa?

  • FortiOS (o sistema operacional do FortiGate): 8.0.2 para a linha 8.0, 7.6.8 para a 7.6, 7.4.13 para a 7.4 e 7.2.14 para a 7.2, ou qualquer versão mais nova.
  • FortiManager e FortiAnalyzer (gestão central e logs): 8.0.2, 7.6.8, 7.4.12 e 7.2.13 ou superiores.
  • FortiMail (gateway de e-mail): 8.0.2, 7.6.7 e 7.4.9; a linha 7.2 precisa migrar para 7.4 ou superior.
  • FortiAuthenticator (identidade): 8.0.4 e 6.6.11 ou superiores.

Se o seu equipamento roda uma linha que não está nesta lista, pergunte ao fornecedor se essa linha ainda recebe atualizações de segurança. Se não receber, o equipamento precisa de uma atualização maior.

Cinco passos para pedir à sua equipe de TI nesta semana

  1. Inventário: uma lista de cada FortiGate e FortiManager na matriz e nas filiais, com a versão de cada um.
  2. Equipamentos expostos à internet primeiro: o firewall que recebe as conexões VPN da equipe ou liga suas filiais é atualizado primeiro, como recomenda a Fortinet.
  3. Faça backup da configuração antes de atualizar: para poder voltar atrás se algo quebrar.
  4. Siga o caminho de atualização correto: saltar entre versões distantes pode exigir etapas intermediárias, e a ferramenta oficial de caminho de atualização da Fortinet as lista.
  5. Revise os logs: procure qualquer login administrativo incomum no equipamento; o anúncio recomenda isso explicitamente.

Se você não puder atualizar agora

Como medida provisória, a Fortinet recomenda restringir as interfaces de administração (HTTPS e SSH) a endereços IP confiáveis, desativar a administração na interface exposta à internet, usar senhas fortes e únicas para cada conta de administrador e exigir autenticação multifator de todos os administradores. Essas medidas reduzem o risco sem eliminá-lo; são uma ponte até a atualização, não um substituto.

É melhor marcar a data da atualização agora do que esperar um momento conveniente que nunca chega: escolha a noite de um dia útil ou um fim de semana, avise antes a equipe e as filiais sobre uma possível interrupção curta e peça depois à equipe um relatório breve listando cada equipamento e seu novo número de versão. Assim você terá um registro claro para consultar quando a próxima atualização crítica for lançada.

A visão da Origami

O firewall é a porta da sua empresa para a internet, e a maioria das empresas o compra e depois o esquece por anos. O que está mudando é que os atacantes agora têm as mesmas ferramentas de IA que encontram as falhas, então o intervalo entre a publicação de uma correção e a exploração da falha não para de diminuir. Por isso acreditamos que toda empresa precisa de uma política escrita: quem atualiza o equipamento, em quantos dias após uma correção crítica e quem confere que foi feito. Se quiser revisar sua rede ou seus sistemas expostos à internet, fale conosco.

Fontes