FortiMail: Falha crítica reforça alerta sobre atualizações de segurança nas empresas
Falha crítica já documentada no FortiMail mostra por que empresas devem acompanhar atualizações de segurança. Entenda o que é zero-day e como reduzir riscos.
Uma vulnerabilidade crítica documentada pela Fortinet demonstra por que empresas precisam acompanhar continuamente os alertas de segurança dos sistemas que utilizam para proteger suas comunicações.
O FortiMail, solução de segurança de e-mails da fabricante, esteve entre os produtos afetados pela vulnerabilidade CVE-2025-32756, classificada com pontuação 9,6 de 10 na escala CVSS utilizada pela empresa. A falha poderia permitir a execução não autorizada de comandos em determinadas versões dos produtos envolvidos.
O alerta oficial, identificado como FG-IR-25-254, foi publicado em 13 de maio de 2025. A Fortinet confirmou que observou exploração real da vulnerabilidade em equipamentos FortiVoice. O mesmo comunicado identificou versões vulneráveis do FortiMail, mas não confirmou exploração ativa especificamente nesse produto.
É importante corrigir a premissa da pauta: na consulta realizada em 2 de outubro de 2026, não encontrei um novo comunicado oficial que confirme uma falha zero-day crítica no FortiMail descoberta nesta data. Por isso, esta matéria utiliza o caso documentado de 2025 para explicar os riscos de vulnerabilidades graves e o que as empresas devem fazer para acompanhar novas ameaças.
Em resumo
- O FortiMail é uma solução empresarial de segurança de e-mails da Fortinet.
- A vulnerabilidade CVE-2025-32756 afetou versões do FortiMail e de outros produtos.
- A Fortinet atribuiu à falha severidade crítica, com pontuação CVSS de 9,6.
- A exploração ativa foi observada pela fabricante no FortiVoice; não há confirmação equivalente no comunicado para o FortiMail.
- As versões afetadas e as correções foram publicadas em maio de 2025.
- Uma vulnerabilidade crítica não é necessariamente um zero-day.
- Empresas devem acompanhar alertas oficiais, atualizar sistemas e investigar possíveis sinais de comprometimento.
O que aconteceu com o FortiMail?
Em maio de 2025, a Fortinet publicou um comunicado sobre uma vulnerabilidade que afetava diferentes soluções de seu portfólio.
Além do FortiMail, o alerta citava produtos como FortiVoice, FortiNDR, FortiRecorder e FortiCamera.
O problema foi classificado como uma falha de segurança relacionada ao processamento de informações por determinados componentes dos sistemas.
Segundo a fabricante, a vulnerabilidade poderia permitir que um invasor remoto, em condições específicas, executasse comandos não autorizados nos dispositivos afetados.
O incidente recebeu o identificador CVE-2025-32756 e foi registrado oficialmente na base internacional de vulnerabilidades CVE.
A Fortinet também informou que havia identificado ataques reais contra o FortiVoice.
Essa distinção importa porque um comunicado pode listar vários produtos vulneráveis sem comprovar que todos foram explorados por criminosos.
Para o FortiMail, o documento confirma a existência de versões afetadas e a necessidade de atualização.
O que é o FortiMail?
O FortiMail é uma solução empresarial desenvolvida para proteger sistemas de e-mail.
Seu objetivo é identificar e bloquear diferentes ameaças associadas às comunicações eletrônicas, incluindo mensagens fraudulentas, spam e arquivos potencialmente maliciosos.
Dependendo da implantação, a ferramenta pode funcionar como parte da infraestrutura responsável por analisar mensagens antes que elas cheguem às caixas de entrada dos funcionários.
Por isso, sua segurança é especialmente importante.
Um equipamento ou serviço utilizado para proteger comunicações pode ocupar uma posição sensível dentro da rede empresarial.
Se esse componente apresentar vulnerabilidades, a organização poderá enfrentar riscos que vão além do recebimento de mensagens indesejadas.
Entre os impactos possíveis estão interrupções, comprometimento de informações e necessidade de investigação da infraestrutura.
Essas são consequências potenciais de falhas em sistemas de segurança, não uma afirmação de que todas ocorreram no caso específico do FortiMail.
O que é uma vulnerabilidade zero-day?
Uma vulnerabilidade zero-day é uma falha de segurança que ainda não possui uma correção disponível para os usuários no momento relevante de sua descoberta ou exploração.
A expressão significa, de maneira simplificada, que a fabricante teve pouco ou nenhum tempo para disponibilizar uma proteção antes de a ameaça se tornar conhecida ou ser utilizada.
Existem três conceitos frequentemente confundidos:
| Termo | Significado |
| Vulnerabilidade | Fraqueza identificada em um sistema |
| Zero-day | Falha ainda sem correção disponível no momento considerado |
| Exploração ativa | Evidência de que alguém está utilizando a falha em ataques reais |
Uma vulnerabilidade pode ser grave sem ser zero-day.
Também pode ser explorada depois que uma atualização já foi disponibilizada, especialmente quando organizações demoram para instalar a correção.
Por outro lado, uma falha pode permanecer desconhecida publicamente durante algum tempo antes de ser divulgada pelo fabricante.
No caso da CVE-2025-32756, a Fortinet publicou um comunicado e indicou versões corrigidas em maio de 2025. Portanto, não é correto apresentá-la como um novo zero-day sem correção em outubro de 2026.
Por que uma falha em um sistema de segurança pode ser tão importante?
Empresas utilizam soluções especializadas para proteger suas redes, seus dados e suas comunicações.
Esses produtos costumam receber permissões e ocupar posições estratégicas dentro da infraestrutura.
Um sistema de proteção de e-mails, por exemplo, pode processar mensagens destinadas a vários departamentos.
Em determinados ambientes, também pode se integrar a serviços de autenticação, armazenamento de registros e outras ferramentas de segurança.
Isso torna importante manter o próprio equipamento de proteção atualizado.
A presença de uma ferramenta de segurança não significa que ela esteja automaticamente protegida contra todas as ameaças.
Como qualquer software, esses produtos podem apresentar falhas que precisam ser corrigidas.
A política oficial da Fortinet reconhece essa possibilidade e estabelece procedimentos para receber relatos, investigar problemas e publicar orientações para os clientes.
Uma empresa pode estar vulnerável mesmo utilizando antivírus e firewall?
Sim.
Antivírus, firewalls e filtros de e-mail possuem finalidades diferentes.
Eles ajudam a reduzir determinados riscos, mas não substituem o gerenciamento de atualizações de todos os componentes da infraestrutura.
Uma organização pode manter seus computadores atualizados e ainda utilizar um equipamento de rede com uma versão vulnerável de software.
Também pode ocorrer o contrário: equipamentos de rede atualizados, mas aplicações internas com falhas conhecidas.
Por isso, a segurança depende de um conjunto de medidas.
O gerenciamento de vulnerabilidades é uma dessas atividades.
Quais versões do FortiMail foram afetadas pela falha documentada?
No comunicado referente à CVE-2025-32756, a Fortinet identificou as seguintes versões do FortiMail e indicou as atualizações correspondentes.
| Linha do FortiMail | Versões afetadas pelo alerta de 2025 | Correção indicada |
| 7.6 | 7.6.0 a 7.6.2 | Atualizar para 7.6.3 ou posterior |
| 7.4 | 7.4.0 a 7.4.4 | Atualizar para 7.4.5 ou posterior |
| 7.2 | 7.2.0 a 7.2.7 | Atualizar para 7.2.8 ou posterior |
| 7.0 | 7.0.0 a 7.0.8 | Atualizar para 7.0.9 ou posterior |
Versões e soluções publicadas no alerta oficial FG-IR-25-254, de 13 de maio de 2025. Esta tabela se refere exclusivamente à CVE-2025-32756; não representa uma lista completa das atualizações exigidas em outubro de 2026.
A informação é útil para compreender como os comunicados de segurança identificam produtos afetados.
Entretanto, uma empresa não deve utilizar apenas essa tabela para decidir qual versão instalar hoje.
A fabricante pode ter divulgado atualizações posteriores para corrigir outras vulnerabilidades.
O procedimento adequado é consultar os alertas atuais e verificar a versão recomendada para a infraestrutura em uso.
Como a Fortinet classifica as vulnerabilidades?
A Fortinet utiliza o Common Vulnerability Scoring System (CVSS) como parte do processo de avaliação de segurança.
Esse sistema atribui pontuações para representar determinadas características técnicas de uma vulnerabilidade.
Na política oficial da fabricante, a classificação é organizada da seguinte maneira:
| Pontuação CVSS | Severidade |
| 9,0 a 10,0 | Crítica |
| 7,0 a 8,9 | Alta |
| 4,0 a 6,9 | Média |
| 2,0 a 3,9 | Baixa |
A Fortinet também mantém uma categoria informativa para determinadas ocorrências de menor impacto.
O CVSS auxilia na priorização das correções, mas não substitui a análise do ambiente de cada empresa.
Uma vulnerabilidade pode receber pontuação elevada e afetar apenas determinados equipamentos ou configurações.
Da mesma maneira, uma falha com pontuação inferior pode representar um problema importante quando atinge um sistema essencial.
Por isso, as equipes de tecnologia precisam considerar tanto a classificação técnica quanto a exposição real dos sistemas.
Uma falha crítica significa que a empresa já foi invadida?
Não.
A existência de uma vulnerabilidade não comprova, por si só, que determinado ambiente foi comprometido.
É necessário verificar se o sistema utiliza uma versão afetada, se as condições necessárias estão presentes e se existem sinais de atividade suspeita.
O comunicado sobre a CVE-2025-32756 confirma exploração observada pela Fortinet no FortiVoice.
Isso não significa que todos os clientes do FortiMail tenham sofrido ataques.
A diferença entre risco potencial e incidente confirmado deve ser preservada ao comunicar esse tipo de notícia.
Por que as empresas precisam acompanhar atualizações de segurança?
Uma das dificuldades do gerenciamento de tecnologia está na quantidade de sistemas utilizados.
Organizações podem operar servidores, serviços de e-mail, ferramentas de atendimento, aplicações internas e equipamentos de rede.
Cada componente possui seu próprio ciclo de manutenção.
Quando uma fabricante publica uma correção, a equipe responsável precisa descobrir se aquela atualização se aplica ao seu ambiente.
Em seguida, deve avaliar a urgência e planejar a implantação.
Esse processo pode exigir testes para evitar interrupções inesperadas em serviços essenciais.
Entretanto, adiar atualizações indefinidamente também pode aumentar a exposição.
O risco é especialmente relevante quando uma vulnerabilidade já é publicamente conhecida e existem evidências de exploração.
A Fortinet informa que pode antecipar comunicados quando identifica ataques em andamento e considera necessário alertar seus clientes com urgência.
Como uma empresa pode reduzir os riscos?
As medidas abaixo são defensivas e não envolvem procedimentos para explorar vulnerabilidades.
1. Manter um inventário dos sistemas
O primeiro passo é saber quais equipamentos e aplicações estão em utilização.
O inventário deve incluir, quando pertinente, fabricante, modelo, versão de software e responsável técnico.
Sem essas informações, torna-se mais difícil identificar rapidamente quais sistemas precisam de atualização.
2. Acompanhar comunicados oficiais
Empresas que utilizam produtos Fortinet devem acompanhar o portal FortiGuard PSIRT, no qual a fabricante publica alertas e orientações de correção.
Os comunicados apresentam informações como gravidade, versões afetadas e soluções recomendadas.
A consulta deve fazer parte de uma rotina de manutenção, e não acontecer somente depois de uma notícia sobre ataques.
3. Priorizar atualizações críticas
Nem toda atualização possui a mesma urgência.
Correções relacionadas a falhas críticas e exploração ativa podem exigir tratamento prioritário.
A decisão deve considerar as orientações oficiais, a exposição do equipamento e o impacto potencial sobre os serviços.
A própria Fortinet estabelece procedimentos diferenciados para publicar comunicados críticos fora de seu calendário regular.
4. Restringir acessos administrativos
Interfaces administrativas devem ser acessíveis apenas por usuários e redes que realmente precisam utilizá-las.
Também é recomendável revisar permissões e utilizar mecanismos adequados de autenticação.
Essas práticas ajudam a reduzir a exposição de componentes sensíveis.
5. Manter registros e monitoramento
Logs e ferramentas de monitoramento ajudam a identificar comportamentos incomuns.
Essas informações podem ser importantes para investigar um incidente e determinar seu alcance.
Entretanto, a ausência de alertas automáticos não comprova que um sistema esteja seguro.
6. Preparar planos de resposta
Organizações precisam definir procedimentos para situações nas quais um equipamento possa ter sido comprometido.
Isso inclui identificar responsáveis, preservar informações relevantes e estabelecer prioridades para a continuidade dos serviços.
Um plano de resposta bem definido ajuda a diminuir improvisações durante incidentes.
O que fazer quando surge uma notícia sobre um novo zero-day?
A primeira recomendação é verificar a fonte.
Notícias sobre cibersegurança frequentemente apresentam termos técnicos que podem ser interpretados de maneira incorreta.
Uma reportagem pode mencionar uma vulnerabilidade crítica publicada recentemente, mas isso não significa necessariamente que se trate de uma falha sem correção.
Da mesma forma, a existência de ataques contra um produto não comprova que todos os equipamentos da fabricante estejam vulneráveis.
Para avaliar a informação, a empresa pode verificar:
- Qual é o identificador CVE?
- Qual produto foi afetado?
- Quais versões são vulneráveis?
- Existe uma correção disponível?
- A fabricante confirmou exploração ativa?
- A vulnerabilidade afeta a configuração utilizada pela organização?
- Há orientações oficiais de mitigação?
Essas perguntas ajudam a transformar uma notícia em uma avaliação técnica.
No caso da Fortinet, o portal PSIRT é a principal referência para consultar os comunicados de segurança da fabricante.
Também é importante acompanhar eventuais revisões, já que um alerta pode receber novas informações após a publicação inicial.
O que a falha do FortiMail ensina sobre segurança empresarial?
O caso documentado em 2025 demonstra que equipamentos destinados a proteger organizações também exigem manutenção contínua.
Um sistema de segurança pode oferecer mecanismos avançados de defesa e, ainda assim, precisar de atualizações para corrigir vulnerabilidades em seu próprio funcionamento.
O episódio também evidencia a importância de diferenciar três situações: a descoberta de uma falha, sua divulgação oficial e a confirmação de exploração por criminosos.
Esses acontecimentos não são equivalentes e podem ocorrer em momentos diferentes.
Para empresas que utilizam FortiMail ou outras soluções de segurança, a principal medida é acompanhar os avisos oficiais e verificar regularmente as versões instaladas.
O alerta confirmado não é sobre um novo zero-day do FortiMail em outubro de 2026, mas sobre a importância de não deixar vulnerabilidades já conhecidas sem tratamento dentro da infraestrutura empresarial.
Perguntas frequentes
Existe uma nova falha zero-day no FortiMail em outubro de 2026?
Não encontrei confirmação oficial de uma nova vulnerabilidade crítica zero-day específica do FortiMail publicada em 2 de outubro de 2026. Há alertas anteriores documentados, incluindo a CVE-2025-32756, divulgada em maio de 2025.
O que foi a CVE-2025-32756?
Foi uma vulnerabilidade crítica que afetou versões de diferentes produtos Fortinet, incluindo FortiMail. A fabricante atribuiu pontuação CVSS de 9,6 à falha.
A Fortinet confirmou ataques utilizando essa vulnerabilidade?
Sim, mas a confirmação de exploração publicada no comunicado se refere ao FortiVoice. O documento também identifica versões vulneráveis do FortiMail, sem confirmar exploração ativa especificamente nesse produto.
O que significa zero-day?
É uma vulnerabilidade para a qual ainda não existe uma correção disponível no momento considerado. Nem toda falha crítica é zero-day.
Como verificar se um FortiMail precisa de atualização?
A equipe responsável deve identificar a versão instalada e consultar os comunicados atuais do FortiGuard PSIRT e as orientações oficiais de atualização.
Uma atualização elimina todos os riscos?
Não. A atualização corrige os problemas que ela se destina a resolver. A segurança também depende de configurações, controles de acesso, monitoramento e tratamento de outras vulnerabilidades.
Onde encontrar alertas oficiais da Fortinet?
No portal FortiGuard PSIRT, mantido pela fabricante.
Fontes consultadas
| Fonte | Informação utilizada |
| Fortinet — Alerta oficial FG-IR-25-254 | CVE-2025-32756, classificação crítica, produtos afetados, correções e situação de exploração. |
| Fortinet — Portal oficial PSIRT | Consulta de alertas e atualizações de segurança dos produtos. |
| Fortinet — Política de divulgação de vulnerabilidades | Critérios CVSS, procedimentos de divulgação e comunicados emergenciais. |
| MITRE — Registro CVE-2025-32756 | Identificação independente dos produtos e versões afetados. |
| CERT-FR — Alerta sobre a vulnerabilidade em produtos Fortinet | Confirmação independente das versões afetadas e da necessidade de correção. |
