Falhas expõem 40 mil segredos em FortiGate e ameaçam corporações
Campanhas contra FortiGate, uso de domínios escolares em jogos ilegais, mudanças no Android e alerta de banco dos EUA mostram escalada de riscos e corrida por correções.
Segurança Digital
Vulnerabilidades no FortiGate revelam dados sensíveis, aumentando riscos para empresas e exigindo respostas rápidas.
Leia também: Ataque ao LiteLLM vaza dados de 49 mil usuários desde maio
Uma leva de descobertas de falhas e campanhas ativas de ataques digitais nesta semana expõe mais de 40 mil segredos em equipamentos FortiGate, explora vulnerabilidades em WordPress, sequestra domínios de escolas e órgãos públicos para jogos de azar ilegais e pressiona gigantes como Google, Microsoft e Fortinet a acelerar correções de segurança.
FortiBleed 2.0 vaza 40 mil segredos de redes corporativas
Em nova fase da campanha de roubo de credenciais em dispositivos FortiGate, batizada de “FortiBleed 2.0”, a empresa Hudson Rock identificou 975 domínios recém-afetados e 40.573 segredos expostos. Entre eles estão 37.076 registros de usuários locais e 1.576 registros LDAP do Active Directory, obtidos a partir de 1.703 arquivos de configuração de equipamentos FortiGate.
Segundo a empresa, o material de configuração analisado é anterior à primeira rodada de apurações. “The configuration material dates to around February 2026, earlier than the likely May/June material examined in the first investigation”, afirmou a Hudson Rock, ao anunciar que “The latest discovery has been codenamed FortiBleed 2.0”.
O volume de credenciais expostas reforça o risco para redes corporativas e governamentais que usam FortiGate como ponto crítico de acesso. Com senhas, chaves e dados de diretórios corporativos comprometidos, invasores podem escalar privilégios, movimentar-se lateralmente na rede e acessar dados sigilosos ou derrubar serviços.
Fortinet corre para corrigir falhas críticas
No mesmo cenário, a Fortinet lançou um conjunto coordenado de atualizações de segurança para FortiOS, FortiManager e FortiAnalyzer, voltado a falhas classificadas como críticas ou de alta gravidade. As vulnerabilidades foram encontradas com apoio de sistemas de inteligência artificial interna de análise de código.
A empresa manteve os detalhes técnicos das falhas sob sigilo até 10 de novembro de 2026, para reduzir a janela de exploração, e recomenda aplicação imediata dos patches, já que dispositivos Fortinet seguem entre os alvos favoritos de grupos de ataque em campanhas como o próprio FortiBleed.
WordPress sob mira do PHP2Shell, mas sem invasões confirmadas
Na web, sites WordPress continuam sendo sondados pela vulnerabilidade conhecida como PHP2Shell, catalogada em duas falhas distintas. A empresa de segurança Wordfence, responsável pela proteção de mais de 5 milhões de páginas, afirma que ainda não viu casos comprovados de invasão por esse vetor até esta semana.
“We continue to see PHP2Shell -related requests across the more than 5 million sites we protect”, informou a companhia. Essas requisições indicam varreduras e tentativas de exploração automatizadas realizadas por atacantes, mas, segundo a empresa, seus times de resposta a incidentes não registraram, até agora, comprometimentos atribuídos diretamente a essas falhas.
Apesar disso, a orientação é manter plugins e temas atualizados, revisar logs de acesso e reforçar monitoramento, já que a exploração tende a se sofisticar conforme mais detalhes técnicos se espalham.
Domínios escolares e governamentais usados em jogos de azar ilegais
Outra frente que chamou a atenção de especialistas é o uso da técnica de domain shadowing para hospedar páginas de jogos de azar ilegais em domínios legítimos de instituições de ensino e órgãos de governo. Em dois esquemas distintos, criminosos conseguiram acesso não autorizado ao painel de DNS e criaram registros que passavam despercebidos pelos administradores originais.
Em um dos clusters, associado a um grupo apelidado de Hidden Hawk, foram adicionados registros CNAME que apontavam subdomínios institucionais para páginas de apostas hospedadas principalmente em infraestrutura do Cloudflare Pages. Em outra campanha, ligada a um domínio governamental indiano, os invasores delegaram subzonas inteiras para servidores DNS controlados por terceiros, usando curingas para gerar inúmeros hostnames sob o guarda-chuva institucional.
A empresa de segurança de DNS Infoblox descreveu o efeito dessa estratégia: “Because the resulting hostnames sat within established institutional namespaces, they provided especially useful infrastructure for search-engine optimization (SEO) and traffic acquisition”. Em outras palavras, o prestígio e a confiança associados a domínios de escolas e governos impulsionam o ranqueamento das páginas maliciosas em buscadores, ampliando o alcance dos sites de jogos ilegais.
Para as instituições atingidas, além do dano reputacional, a consequência pode incluir questionamentos legais e necessidade de revisar às pressas políticas de gestão de DNS, acesso administrativo e monitoramento de subdomínios.
Alterações no Android miram abuso de contatos
No campo de plataformas móveis, o Google anunciou mudanças importantes na forma como aplicativos Android poderão lidar com contatos gravados no aparelho. Versões futuras do sistema vão restringir o uso direto da permissão WRITE_CONTACTS, que hoje permite a um app criar, editar e apagar contatos em massa, muitas vezes em segundo plano e sem interação do usuário.
“Currently, if your app needs to save even one contact, you might be requesting WRITE_CONTACTS. But that permission grants broad access”, explicou a empresa. A orientação do Google é que desenvolvedores passem a usar intents padrão para inserir ou editar contatos, o que deve reduzir o risco de abusos por aplicativos maliciosos ou mal projetados.
A mudança é uma resposta à preocupação crescente com apps que, ao obter permissões amplas, podem minerar dados pessoais de agendas telefônicas, alimentar campanhas de phishing e ampliar o alcance de golpes via engenharia social e automação por inteligência artificial.
Gitee expõe 26,4 mil credenciais ativas em código público
Repositórios públicos de código seguem como uma das fontes favoritas de invasores em busca de chaves e senhas esquecidas por desenvolvedores. Um levantamento feito pelo pesquisador independente Ben Zimmermann em 7,25 milhões de repositórios públicos no Gitee, principal plataforma chinesa de hospedagem Git, encontrou 26.400 credenciais únicas verificadas como ativas.
Segundo Zimmermann, entre os dados estavam uma credencial administrativa ainda válida de uma grande plataforma corporativa de inteligência artificial e milhares de chaves de acesso a provedores de nuvem. O resultado mostra como práticas descuidadas de desenvolvimento — como subir arquivos de configuração, variáveis de ambiente e chaves privadas para repositórios públicos — continuam alimentando ataques automatizados que vasculham a internet em busca de segredos expostos.
A recomendação para empresas e programadores é revisar repositórios em busca de vazamentos, revogar chaves expostas, adotar ferramentas de varredura automática de segredos e isolar credenciais em cofres de segurança, nunca no código.
Falha no Microsoft Authenticator elevou risco para contas de trabalho
Também veio a público nesta semana a descrição de uma falha já corrigida no Microsoft Authenticator para Android, catalogada como AuthMask. A vulnerabilidade permitia que um aplicativo malicioso, sem permissões adicionais, se passasse por outro app de confiança instalado no mesmo aparelho e recebesse, indevidamente, os tokens de autenticação emitidos pelo Authenticator.
De acordo com a própria Microsoft, “Successful exploitation could allow the attacker to obtain authentication tokens and access resources as the affected user”. A empresa de segurança Enclave detalhou que “an unprivileged Android app with zero permissions could impersonate any installed Microsoft first-party app and have the Microsoft Authenticator broker hand it that app’s tokens” em um dispositivo que tivesse o Authenticator instalado e uma conta corporativa ativa.
Na prática, o ataque exigia que o usuário instalasse e executasse o app malicioso e fosse induzido a concluir um fluxo de autenticação acreditando estar lidando com o aplicativo legítimo. O caso ressalta como até soluções criadas para reforçar segurança, como apps de autenticação, podem se tornar elo frágil se não forem atualizadas rapidamente.
Banco alerta clientes sobre IA e roubo de credenciais
O avanço de ferramentas de inteligência artificial também começa a aparecer nos canais de comunicação de grandes bancos. O Bank of America enviou um disparo de e-mail a clientes com o título “Protecting your finances in the AI World”, alertando para o risco de compartilhar credenciais com agentes automatizados.
Na mensagem, o banco orienta usuários a nunca informar usuário e senha a terceiros ou serviços externos, “including an AI-enabled tool or agent that offers to act on your behalf”. O alerta reflete o surgimento de golpes em que atacantes se passam por assistentes inteligentes, bots de atendimento ou agentes de automação financeira para convencer vítimas a entregar acesso direto a contas e carteiras digitais.
O recado reforça uma máxima que volta ao centro do debate em meio ao hype da IA: nenhuma ferramenta, por mais avançada que seja, deve receber senhas, códigos de autenticação ou chaves de acesso bancário.
IA acelera varredura por segredos na web
Além do uso defensivo, a inteligência artificial vem sendo explorada em ataques em escala. Pesquisadores de segurança registraram a atuação de um único operador que usa disfarces de até 32 robôs de IA, incluindo identidades que imitam bots como ChatGPT, Claude e Perplexity, para pedir diretamente arquivos que costumam armazenar segredos, em vez de navegar por páginas comuns.
Segundo relato de Will Glazier, da Cequence, “The malicious scanner runs from a major cloud provider and rotates through about 32 AI bot identities, spanning crawlers and assistants from OpenAI, Anthropic, Meta, Perplexity, and others”. A ferramenta ignora o conteúdo dos sites e dispara requisições a dezenas de caminhos conhecidos por guardar senhas, como arquivos .env, chaves SSH privadas e credenciais de nuvem.
O scanner envia rajadas de 50 a 190 requisições em poucos segundos para cada alvo, o dia todo, e primeiro testa endereços aleatórios para descobrir sites que respondem a qualquer caminho solicitado — um padrão típico de varredura automatizada. Organizações de setores como finanças, varejo, telecom, energia e software já foram atingidas entre o fim de setembro e o fim de outubro.
Entenda o contexto
Os episódios registrados nesta semana — da exposição de 40.573 segredos em ambientes FortiGate ao uso de domínios institucionais em jogos ilegais, passando por falhas em apps de autenticação, permissões amplas no Android e vazamentos em repositórios de código — apontam para um cenário em que ataques sofisticados convivem com brechas abertas por descuido básico.
De um lado, grupos avançados exploram infraestruturas respeitadas para ganhar confiança, como no domain shadowing de escolas e governos, e adotam automação e IA para escalar ataques e varreduras. De outro, empresas e desenvolvedores ainda expõem credenciais em repositórios públicos e demoram a aplicar patches críticos em equipamentos sensíveis, mantendo portas abertas.
Na prática, ganham terreno as organizações que investem em atualização rápida de sistemas, gestão rigorosa de credenciais e monitoramento contínuo — enquanto quem mantém infraestrutura desatualizada, controles frágeis de DNS e código público sem revisão fica mais vulnerável a invasões, golpes financeiros e perda de dados.
