CVE-2025-59718
Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Resumen
Falha de verificação imprópria de assinatura criptográfica (CWE-347) no mecanismo de login SSO via FortiCloud do FortiOS, FortiProxy e FortiSwitchManager. Um atacante não autenticado pode forjar uma mensagem SAML e obter acesso administrativo ao dispositivo, sem credenciais. O CVSS 9.1 é justificado apenas quando o recurso FortiCloud SSO está habilitado — algo que não vem ativado por padrão de fábrica, mas que é ativado silenciosamente durante o registro do dispositivo no FortiCare pela GUI, a menos que o administrador desmarque explicitamente uma opção na tela de registro.
Detalle técnico
O problema está na validação da assinatura de mensagens SAML usadas no fluxo de autenticação SSO administrativa via FortiCloud. O CWE associado, 347 (Improper Verification of Cryptographic Signature), indica que o dispositivo aceita uma resposta SAML como válida sem confirmar corretamente que ela foi assinada pela parte esperada (o provedor de identidade FortiCloud). Isso é a classe clássica de falha em implementações SAML: o parser aceita a assinatura, mas não valida de forma consistente qual elemento do XML ela realmente cobre, ou aceita assinaturas de origem não confiável como legítimas.
O atacante controla o conteúdo da mensagem SAML enviada ao endpoint de login administrativo do dispositivo. Como a verificação da assinatura falha, ele pode montar uma asserção SAML que o dispositivo interpreta como uma autenticação legítima vinda do FortiCloud, resultando em bypass total do processo de login — sem precisar de credenciais, senha, token MFA ou qualquer segredo do FortiCloud real.
O advisory do fornecedor (FG-IR-25-647) trata esta CVE em conjunto com a CVE-2025-59719, que é descrita como
Cómo se explota
O pré-requisito real que reduz drasticamente a superfície de exposição é o estado do recurso FortiCloud SSO login: ele vem desabilitado de fábrica, mas é ativado automaticamente quando um administrador registra o dispositivo no FortiCare pela interface gráfica, salvo se desmarcar o toggle
Versiones
Cómo protegerse
A correção definitiva é atualizar para as versões corrigidas por linha: FortiOS 7.6.4+, 7.4.9+, 7.2.12+, 7.0.18+; FortiProxy 7.6.4+, 7.4.11+, 7.2.15+, 7.0.22+; FortiSwitchManager 7.2.7+ ou 7.0.6+. Quem usa FortiOS 6.4 não é afetado por esta CVE específica.
Para quem não pode atualizar imediatamente, o fornecedor recomenda desabilitar o recurso FortiCloud SSO login enquanto o dispositivo permanece em versão vulnerável: via GUI em System → Settings → desligar
Cómo detectar
A Arctic Wolf documentou logins SSO administrativos maliciosos em dispositivos FortiGate a partir de 12 de dezembro de 2025, logo após a divulgação pública das CVE-2025-59718 e CVE-2025-59719 — a fonte confirma exploração ativa em campo, mas o detalhe técnico dos indicadores de comprometimento (IPs, padrões de asserção SAML, timestamps de logs específicos) não estava disponível no conteúdo capturado. Como sinal geral, procure em logs de auditoria administrativa do dispositivo por eventos de login via FortiCloud SSO fora do padrão esperado de uso (horários incomuns, ausência de correlação com atividade legítima de administradores conhecidos, ou login SSO em dispositivos que nunca deveriam receber esse tipo de acesso). A CISA colocou a CVE no catálogo KEV com prazo de correção de sete dias (16 a 23 de dezembro de 2025), reforçando que a janela de exploração observada foi curta e imediata após a disclosure.