CNCS alerta para falha crítica que permite execução remota de comandos

O Centro Nacional de Cibersegurança (CNCS) alertou para uma vulnerabilidade crítica identificada no Fortinet FortiSIEM está a gerar preocupações significativas em ambientes empresariais que utilizam a plataforma para monitorização e correlação de eventos de segurança. A falha, registada como CVE-2025-64155 / EUVD-2026-2076, permite a execução remota de comandos no sistema operativo sem necessidade de autenticação prévia .

Classificada como uma vulnerabilidade de injeção de comandos no sistema operativo (CWE-78), a falha pode ser explorada através de pedidos TCP especialmente construídos dirigidos ao serviço phMonitor, tipicamente exposto na porta TCP 7900. Quando explorada com sucesso, permite a um atacante executar comandos arbitrários com privilégios de root, comprometendo totalmente o sistema afetado.

A vulnerabilidade afeta várias versões do FortiSIEM, incluindo as séries 7.4, 7.3, 7.2, 7.1, 7.0 e 6.7, nas versões anteriores às correções disponibilizadas pela Fortinet. A empresa recomenda a atualização imediata para as versões corrigidas, nomeadamente o FortiSIEM 7.4.1, 7.3.5, 7.2.7 e 7.1.9, ou a migração para versões suportadas que já integrem a correção de segurança.

Nos casos em que a atualização não possa ser realizada de imediato, o CNCS recomenda medidas mitigadoras, como a restrição ou bloqueio do acesso ao serviço phMonitor, a limitação da exposição direta do FortiSIEM à Internet e a utilização exclusiva de redes de administração ou VPN de confiança.

Para deteção de possíveis tentativas de exploração, é aconselhada a análise dos registos localizados em /opt/phoenix/log/phoenix.logs, procurando padrões anómalos, erros de parsing ou comandos inesperados associados ao serviço vulnerável.

Esta vulnerabilidade reforça a importância de manter plataformas de monitorização de segurança atualizadas e devidamente isoladas, uma vez que a sua exploração pode comprometer não apenas o sistema afetado, mas também a visibilidade e resposta a incidentes de toda a infraestrutura monitorizada.