Autenticação Sob Ataque: SSO da Fortinet Explorado Enquanto Microsoft Recua na Descontinuação do SMTP

As camadas fundamentais da segurança corporativa—autenticação e controle de acesso—estão mostrando rachaduras alarmantes em duas frentes opostas. Em uma frente, uma vulnerabilidade crítica em uma solução moderna de Single Sign-On (SSO) está sendo explorada ativamente, comprometendo os próprios sistemas projetados para simplificar e proteger o acesso. Em outra, a descontinuação de um protocolo com décadas de existência e fundamentalmente inseguro está sendo adiada, expondo as organizações a um risco prolongado. Essa crise dupla ressalta o estado frágil do gerenciamento de identidades no ecossistema digital atual.

A Falha Crítica de SSO da Fortinet: CVE-2026-24858 em Exploração Ativa

A Fortinet, uma das principais empresas de segurança de rede, está atualmente lidando com ataques ativos no mundo real que visam uma vulnerabilidade grave em seu software FortiOS. Rastreada como CVE-2026-24858, essa falha reside dentro do portal de administrador SSO do FortiOS. A vulnerabilidade é particularmente perigosa porque pode ser acionada por um atacante não autenticado, sem exigir acesso ou credenciais prévias. A exploração bem-sucedida permite a execução de código ou comandos arbitrários no sistema subjacente, potencialmente concedendo ao atacante controle total sobre o dispositivo Fortinet.

O portal de administrador SSO é um alvo de alto valor. Comprometê-lo poderia permitir que agentes de ameaça manipulem políticas de single sign-on, criem contas de usuário backdoor ou façam pivô para outros sistemas conectados dentro da rede de uma organização. A Fortinet lançou patches e alertas de segurança pedindo ação imediata. No entanto, a confirmação da exploração ativa na natureza significa que qualquer atraso na aplicação desses patches acarreta um risco significativo. As equipes de segurança que gerenciam appliances Fortinet devem tratar isso com a mais alta prioridade, verificando suas versões e aplicando as atualizações sem demora. Este incidente serve como um lembrete contundente de que até mesmo plataformas focadas em segurança que gerenciam funções críticas de autenticação não são imunes a bugs devastadores.

O Recuo da Microsoft no SMTP: O Protocolo Legado que se Recusa a Morrer

Em uma luta paralela, mas relacionada, a Microsoft anunciou uma revisão substancial em seu plano para descontinuar o SMTP AUTH com Autenticação Básica no Exchange Online. O cronograma original, que previa a desabilitação do protocolo até o final de 2024, foi adiado. O novo prazo final é agora dezembro de 2025, representando um recuo de quase um ano.

SMTP AUTH com Autenticação Básica é um método legado para envio de e-mails ao Exchange Online. É notoriamente inseguro, pois normalmente transmite nomes de usuário e senhas em texto claro ou com codificação facilmente reversível, tornando-o altamente suscetível ao roubo de credenciais e a ataques de repetição (replay). A Microsoft há muito defende sua substituição pela autenticação moderna (OAuth 2.0), que fornece autenticação baseada em token e criptografada sem enviar senhas diretamente.

O atraso é uma admissão pragmática do enorme desafio de migração. Inúmeras aplicações legadas, impressoras multifuncionais, scanners e software de linha de negócios ainda dependem do antigo método SMTP AUTH. Para muitas organizações, identificar e atualizar ou substituir esses sistemas é uma empreitada complexa, demorada e custosa. A extensão da Microsoft fornece um respiro crucial, mas também amplia a janela de vulnerabilidade. As organizações devem usar esse tempo extra estrategicamente, não como uma desculpa para a inação. O uso contínuo da Autenticação Básica para SMTP permanece um ponto fraco evidente na postura de segurança de uma organização, frequentemente explorado em campanhas de phishing e ataques de preenchimento de credenciais (credential stuffing).

A Colcha de Retalhos da Autenticação: Risco Sistêmico e Imperativos Estratégicos

Essas duas histórias, embora de natureza diferente, são fios do mesmo tecido: a colcha de retalhos da autenticação corporativa. Elas revelam um cenário de segurança preso entre a vanguarda e o passado obsoleto.

A exploração da Fortinet demonstra que os gateways de autenticação modernos e consolidados (SSO) são sistemas complexos que, quando comprometidos, oferecem aos atacantes uma chave mestra. Por outro lado, o dilema do SMTP da Microsoft destaca a imensa inércia da tecnologia legada. Protocolos inseguros se embrenham profundamente nos processos de negócios, e sua remoção costuma ser um pesadelo logístico e financeiro.

Isso cria uma tempestade perfeita para os defensores. Eles devem urgentemente corrigir e defender sistemas novos e sofisticados, enquanto orquestram simultaneamente a aposentadoria de outros antigos e vulneráveis—tudo sob ataque constante. A carga operacional é imensa.

Orientação Acionável para Equipes de Segurança

1. Administradores da Fortinet: Revisem imediatamente todas as instâncias do FortiOS, especialmente aquelas com o recurso SSO habilitado. Apliquem os patches relevantes para o CVE-2026-24858 como uma prioridade crítica. Monitorem os logs de autenticação para qualquer atividade suspeita direcionada ao portal de administração.
2. Locatários do Exchange Online: Usem o cronograma estendido da Microsoft de forma proativa. Inventariem imediatamente todos os aplicativos e dispositivos que usam SMTP AUTH com Autenticação Básica. Comecem a migrá-los para Autenticação Moderna (OAuth 2.0) ou métodos de envio seguros alternativos. A Microsoft fornece ferramentas e logs para ajudar a identificar esse uso.
3. Planejamento Estratégico: Vejam a autenticação não como um conjunto de ferramentas discretas, mas como uma infraestrutura crítica e interconectada. Conduzam uma revisão holística de todos os métodos de autenticação, desde protocolos legados até a identidade federada moderna. Desenvolvam um roteiro para eliminar a Autenticação Básica em todas as suas formas e garantam um gerenciamento robusto de patches para todos os provedores de identidade e gateways de acesso.

Os eventos em torno da Fortinet e da Microsoft não são incidentes isolados. Eles são sintomas de um desafio mais amplo em cibersegurança: gerenciar a transição de um passado inseguro para um futuro mais seguro, garantindo ao mesmo tempo que as soluções construídas para esse futuro sejam elas mesmas seguras. A integridade da empresa digital depende de acertar esse equilíbrio.