FortiBleed: credenziali di oltre 86.000 FortiGate rubate e rivendute ai ransomware, FBI e Secret Service segnalano amministratori chiusi fuori

La campagna FortiBleed contro i firewall Fortinet FortiGate e i gateway SSL-VPN esposti su internet è ancora in corso: lo scrivono FBI e Secret Service in un advisory congiunto del 6 ottobre 2026, ripreso da ACN l'8 ottobre nell'aggiornamento di un proprio bollettino di giugno. FortiBleed è un'operazione di furto e cracking di credenziali, senza una CVE associata, che sfrutta password riutilizzate o già trapelate e la vecchia memorizzazione degli hash delle password in SHA-256; l'advisory cita oltre 86.000 dispositivi compromessi in 194 paesi. Il fatto nuovo sono le vittime chiuse fuori dai propri apparati: dopo l'accesso gli attaccanti creano nuovi account amministrativi e in alcuni casi cancellano quelli legittimi o ne cambiano la password, e per rientrarne in possesso non bastano aggiornamento e reset delle credenziali.

La campagna è emersa a giugno, quando il ricercatore Bob Diachenko ha trovato il server lasciato esposto dagli stessi attaccanti, con un archivio di credenziali VPN di circa 74.000 firewall; la CISA aveva diffuso le prime raccomandazioni il 18 giugno. L'advisory di FBI e Secret Service ricostruisce la catena: scansione dei portali SSL-VPN, credential stuffing e password spraying con dump di vecchie violazioni Fortinet e log di infostealer, estrazione degli hash e cracking offline su un cluster di GPU orchestrato con Hashcat e Hashtopolis. Con le credenziali valide gli attaccanti creano account sul firewall, entrano nella rete, enumerano Active Directory in cerca di utenti privilegiati e infine vendono l'accesso: i broker che usano la catena FortiBleed hanno già fornito accessi agli affiliati dei ransomware INC/Lynx e Payload. Fortinet aveva escluso il 19 giugno una nuova vulnerabilità dei propri prodotti, attribuendo la campagna al riuso di credenziali di incidenti precedenti e ad attacchi brute force contro apparati con password deboli e senza autenticazione a più fattori.

ACN ha trovato nei file diffusi dagli attaccanti dati riconducibili anche ad asset e organizzazioni italiane, in parte provenienti da export di configurazione: un file di configurazione FortiGate contiene utenze locali, policy, indirizzamenti interni e server di autenticazione, cioè la mappa della rete di chi lo ha perso. A doversene preoccupare è chi ha un FortiGate con SSL-VPN o interfaccia di gestione raggiungibile da internet, soprattutto con account locali e password che non cambiano da tempo, condizione comune in molti enti locali e piccole organizzazioni. Il reset delle password da solo lascia in piedi gli account amministrativi aggiunti dagli attaccanti, compresi quelli dedicati alle REST API. La catena prosegue poi verso altri prodotti dell'ecosistema: ACN indica fra i vettori di movimento laterale FortiClient EMS e FortiSandbox, con vulnerabilità come la CVE-2026-35616 e la CVE-2026-25089 che avevamo trattato in nostri precedenti alert del 5 aprile e del 17 luglio. Qui il firewall si apre con la chiave giusta, ed è per questo che la sola patch serve a poco.

• Versioni affette: Fortinet FortiGate con SSL-VPN o interfaccia amministrativa esposta su internet, a prescindere dalla versione di FortiOS; più a rischio gli apparati con credenziali amministrative memorizzate con hash SHA-256 legacy invece che con PBKDF2, disponibile secondo ACN dalla FortiOS 7.2.11 (Fortinet raccomanda le ultime release 7.4, 7.6 o 8.0).
• Azione raccomandata: limitare la gestione dall'esterno (trusted host come minimo, local-in policy meglio, nessuna amministrazione da internet come soluzione ottimale); terminare tutte le sessioni amministrative e VPN e reimpostare tutte le password VPN e amministrative; attivare l'autenticazione a più fattori resistente al phishing su VPN e account amministrativi; passare a PBKDF2 ed eliminare gli hash legacy; verificare tutti gli account del firewall, compresi quelli REST API, cercando quelli non riconosciuti (l'advisory segnala fra gli altri forticloud-sync, forticloud-tech, fortiAdmin, support_fortinet e adminsslvpn); cercare in System > Events le esportazioni di configurazione e analizzare i log VPN e dei Domain Controller; in caso di compromissione trattare come compromessi l'apparato e gli account AD/LDAP che usa; aggiornare anche FortiClient EMS e FortiSandbox.

Fonti: ACN, FBI / Secret Service, Fortinet, CISA, BleepingComputer, Help Net Security