Pesquisadores de segurança divulgaram uma prova de conceito, que é um código que demonstra na prática como uma falha funciona, para uma vulnerabilidade crítica no FortiSIEM, sistema da Fortinet usado para monitorar a segurança de redes e registrar eventos. A falha, identificada como CVE-2026-106173 e com nota 9,4 na escala CVSS, permite que um invasor execute códigos ou comandos não autorizados enviando pacotes de dados especialmente preparados, sem precisar de login.

A Fortinet liberou correções na semana passada. Quem usa a versão 7.5.0 deve atualizar para a 7.5.1 ou superior. Segundo a fonte, a versão 7.6 não é afetada. A análise foi feita pela Horizon3.ai, que explica que o ataque usa um serviço de comunicação chamado gRPC, escutando na porta TCP 27918.

Para entender o problema, pense em um arquivo de uma pasta trancada: o programa confia demais no nome de um caminho informado de fora. Com isso, um invasor consegue escapar da pasta correta e gravar em outro lugar do sistema. Como o nome do arquivo final é definido pelo próprio programa, a falha precisou de um segundo truque: um caractere nulo que faz o sistema ignorar o restante do nome. Assim, o invasor consegue sobrescrever um arquivo existente.

Segundo a Horizon3.ai, o arquivo escolhido seria um script de shell que faz verificações de saúde do serviço Redis e roda a cada 60 segundos por meio de um cron job. Sobrescrever esse tipo de arquivo pode permitir a execução de comandos. A pesquisadora Zach Hanley, da Horizon3.ai, afirma que a gravação mantém o dono e as permissões originais do arquivo, e que há uma variação que cria um arquivo novo com nome exato.

Quem usa FortiSIEM deve aplicar a atualização indicada pela Fortinet e seguir as instruções oficiais do fabricante. Como a prova de conceito agora é pública, o risco de exploração aumenta para sistemas que ainda não foram atualizados.