CVE-2025-68686mediumsob ataqueCWE-200

CVE-2025-68686: falha de média gravidade em Fortinet FortiOS

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar FortiOS

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

48Vexday Risk Score

Priorize a correção. Ela está sob exploração confirmada pelo CISA e tem alerta oficial do governo brasileiro.

ssvc Attendcvss 5.3epss 29%
da publicação à arma
Publicada no NVD10 de fev.
CISA KEV+167d
Alerta oficial no Brasil

O governo federal publicou alerta, recomendação ou boletim que cita esta vulnerabilidade.

  • CTIR Gov · ALERTA 71/2026 · 25 ago 2026Vulnerabilidade crítica que afeta o FortiOSler no gov.br ↗
  • CISC Gov.br · 04 ago 2026Boletim do CISC de Vulnerabilidadeler no gov.br ↗
Fonte: CTIR Gov (GSI) e CISC Gov.br, sob licença CC BY-ND 3.0.
Ação exigida pela CISAprazo federal: 2026-08-10

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Em resumo

O Fortinet FortiOS tem uma falha que expõe informações sensíveis quando um atacante já comprometeu o sistema. O atacante pode usar requisições especialmente criadas para contornar medidas de segurança destinadas a impedir acesso persistente.

Detalhe técnico

Vulnerabilidade CWE-200 de exposição de informações no FortiOS 7.0–7.6.x permite que um atacante remoto pós-comprometimento contorne proteções de persistência por links simbólicos via requisições HTTP especializadas. A exploração exige comprometimento prévio em nível de sistema de arquivos e possibilita acesso não autorizado a dados sensíveis; o impacto é exposição de informações confidenciais por controles de acesso insuficientes.

Resumo gerado e traduzido por IA a partir da descrição oficial.
An Exposure of Sensitive Information to an Unauthorized Actor vulnerability [CWE-200] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.1, FortiOS 7.4.0 through 7.4.6, FortiOS 7.2 all versions, FortiOS 7.0 all versions, FortiOS 6.4 all versions may allow a remote unauthenticated attacker to bypass the patch developed for the symbolic link persistency mechanism observed in some post-exploit cases, via crafted HTTP requests. An attacker would need first to have compromised the product via another vulnerability, at filesystem level.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N/E:P/RL:O/RC:C
Produtos afetados
Fortinet · FortiOS
CVEs relacionadas — Fortinet FortiOS

No mesmo produto, das mais perigosas para as menos.

CVE-2022-42475CRITICALCVE-2022-42475EPSS 99.5%KEVCVE-2024-55591CRITICALCVE-2024-55591EPSS 94.3%KEVCVE-2026-24858CRITICALCVE-2026-24858EPSS 86.6%KEVCVE-2023-27997CRITICALCVE-2023-27997EPSS 85.7%KEVCVE-2024-21762CRITICALCVE-2024-21762EPSS 84.6%KEVCVE-2025-59718CRITICALCVE-2025-59718EPSS 68.3%KEV