FortiBleed: vazamento expõe credenciais de VPN da Fortinet em 73 mil dispositivos
Aprofundamento CEVIU
Aprofundamento
O FortiBleed não é um vazamento de credenciais por falha zero-day, é o colapso sistêmico de três camadas de defesa: configuração padrão insegura, atualização incompleta e exposição acidental da interface de gerenciamento. Os dados vieram de arquivos de configuração exportados, não de memória ou tráfego em tempo real. Isso confirma que atacantes acessaram dispositivos via credenciais válidas (força bruta ou reutilização) ou exploração prévia, e depois extraíram os arquivos config.cfg, onde Fortinet ainda armazena senhas de administrador em hash SHA-256 se o login pós-atualização não foi feito. A proteção PBKDF2, introduzida no FortiOS 7.4.3 (janeiro/2025), só entra em vigor *após o primeiro login do admin* após a atualização, e 75% dos dispositivos afetados nunca fizeram esse passo.
A coleta cruzada com SQL Server mostra que os mesmos operadores usam o FortiBleed como porta de entrada para infiltração profunda: após comprometer a VPN, escaneiam redes internas, derrubam bancos com credenciais reutilizadas e injetam payloads no Active Directory. É o mesmo padrão observado no vazamento da LAPD (abril/2026) e na exploração do FortiClient EMS (junho/2026), mas em escala industrial, 1,16 bilhão de tentativas contra FortiGate, 2,1 bilhões contra SQL Server, e 86.644 dispositivos mapeados com credenciais verificáveis.
O que mudou
Em abril/2026, o CEVIU reportou o vazamento de senhas fracas de autoridades húngaras ligadas à OTAN, mas eram credenciais antigas, reutilizadas, sem contexto técnico de extração. Agora, o FortiBleed mostra o *mecanismo concreto*: exportação de configurações + quebra offline de hashes SHA-256 + movimento lateral via AD. Também evoluiu o padrão de exploração: o ataque ao FortiClient EMS (6/2026) era pontual e dependia de CVE; o FortiBleed é massivo, não depende de vulnerabilidade nova, e explora a inércia operacional, dispositivos atualizados, mas com senhas não re-hashed.
Por que isso importa
FortiGate é o firewall mais usado por empresas críticas no Brasil: bancos, operadoras e órgãos públicos dependem dele para segmentar redes e proteger acesso remoto. Se 75 mil dispositivos estão online com credenciais expostas, e metade deles tem a interface de gerenciamento acessível pela internet, qualquer organização com Fortinet pode ter sua rede invadida em minutos, sem precisar de zero-day. O risco não está no produto, mas na falsa sensação de segurança gerada por 'atualizar e esquecer'. O FortiBleed prova que hardening contínuo é obrigatório: MFA não negociável, gestão de credenciais centralizada e bloqueio estrito da interface de administração para IPs confiáveis.
Linha do tempo
CEVIU reporta vazamento de senhas fracas de autoridades húngaras ligadas à OTAN, expondo falhas de reutilização e gestão de credenciais.
CEVIU revela P4WNED: 72% dos servidores Perforce expunham código-fonte por configuração padrão insegura, padrão repetido no FortiBleed.
CEVIU cobre vazamento de senhas em texto puro do Myspace93, destacando persistência de credenciais fracas mesmo em sistemas antigos.
CEVIU documenta exploração ativa da CVE-2026-35616 no FortiClient EMS, mostrando cadeia de ataque que começa em cliente e avança para infraestrutura.
CEVIU alerta sobre exploração ativa de falha no PAN-OS da Palo Alto, paralelo direto com FortiBleed: ambos envolvem VPNs expostas e autenticação contornável.
Descoberta do FortiBleed: 73.932 dispositivos FortiGate com credenciais expostas, extraídas de configurações e quebradas offline via cluster de 45 GPUs.
Perguntas frequentes
Como saber se meu FortiGate foi afetado?
Use a ferramenta gratuita da Hudson Rock (FortiBleed Lookup). Ela verifica se seu domínio ou IP está na lista de 73.932 URLs expostas. Não confie apenas em Shodan ou scans internos, o vazamento inclui dispositivos que parecem seguros, mas têm credenciais válidas em texto puro ou hash fraco.
Atualizar o FortiOS resolve o problema?
Não basta atualizar. Você precisa forçar o re-hash das senhas: todos os administradores devem fazer login novamente após a atualização para ativar o PBKDF2. Senhas criptografadas com SHA-256 permanecem vulneráveis mesmo em versões recentes do FortiOS, se esse passo não for feito.
Por que senhas longas e complexas aparecem no vazamento?
Porque foram extraídas de arquivos de configuração, não quebradas em tempo real. O atacante não precisou crackear nada: obteve o hash diretamente do config.cfg. E como o FortiOS não força re-hash automático, até senhas fortes ficam expostas se armazenadas no formato antigo.
MFA resolve tudo?
Reduz drasticamente o risco de uso das credenciais vazadas, mas não elimina o perigo. Atacantes ainda podem usar as credenciais para acessar APIs não protegidas, extrair logs ou executar comandos via CLI se o MFA não estiver habilitado em *todos* os vetores: web, SSH, API e console serial. A recomendação é aplicar MFA em todas as interfaces, não só na VPN.
Fontes
- bleepingcomputer.comfonte original
- Categoria
- CEVIU Segurança da Informação
- Publicado
- 18 de junho de 2026
- Editoria
- CEVIU Segurança da Informação