Sintesi

Questo CSIRT ha recentemente rilevato la diffusione di un dataset riconducibile a una campagna denominata “ FortiBleed ”, contenente informazioni associate a dispositivi Fortinet/FortiGate esposti su Internet e utilizzati per l’accesso remoto tramite SSL-VPN.

Tipologia

Information Disclosure

Descrizione e potenziali impatti

La campagna denominata “FortiBleed” evidenzia un rischio concreto per le organizzazioni che espongono su Internet apparati Fortinet/FortiGate non aggiornati, in particolare laddove risultino pubblicamente raggiungibili servizi SSL-VPN o interfacce amministrative.

Il threat actor avrebbe effettuato attività di ricognizione su larga scala finalizzate all’individuazione di istanze Fortinet esposte sulla rete pubblica e accessibili dall’esterno, con particolare attenzione ai dispositivi per i quali l’interfaccia di management FortiGate risulta direttamente accessibile da Internet. L’accesso iniziale potrebbe essere stato ottenuto tramite tecniche di abuso delle credenziali (es. credential stuffing , password spraying , brute force e riuso di credenziali provenienti da compromissioni precedenti), senza escludere il possibile sfruttamento di vulnerabilità note su sistemi non aggiornati o non adeguatamente protetti. Ulteriori attività di credential harvesting e possibili debolezze nei meccanismi di gestione delle credenziali (es. legacy hashing ) potrebbero aver contribuito alla disponibilità di credenziali valide utilizzate nella campagna.

Una volta ottenuto l’accesso iniziale alla rete interna, la campagna può evolvere tramite scansioni automatizzate volte a individuare eventuali ulteriori asset dell’ecosistema Fortinet non aggiornati. In questa fase possono configurarsi tentativi di movimento laterale tramite lo sfruttamento di vulnerabilità note per l’esecuzione di codice da remoto (RCE) e il bypass dell’autenticazione, in particolare su istanze:

• FortiSandbox: CVE-2026-39808, CVE-2026-39813, CVE-2026-25089;
• FortiClient EMS: CVE-2026-21643, CVE-2026-35616.

Ulteriori vulnerabilità Fortinet, anche di natura storica, che potrebbero aver contribuito indirettamente al contesto di esposizione delle credenziali o essere sfruttate in fasi successive della compromissione, tra cui:

• CVE-2018-13379
• CVE-2022-42475
• CVE-2023-27997
• CVE-2024-21762
• CVE-2024-55591
• CVE-2025-59718
• CVE-2026-25815

Da un ‘ analisi eseguita sui file rilasciati dall’attore malevolo è emerso che sono presenti evidenze riconducibili anche ad asset e organizzazioni italiane. Inoltre, parte delle informazioni presenti nei file potrebbe derivare da export di configurazione degli apparati. Tale scenario risulta particolarmente critico, in quanto i file di configurazione possono contenere informazioni sensibili relative a utenze locali, gruppi di accesso, configurazioni SSL-VPN, policy firewall, oggetti di rete, indirizzamenti interni, server di autenticazione e ulteriori parametri utili alla compromissione dell’infrastruttura.

La disponibilità di credenziali SSL-VPN potenzialmente valide potrebbe consentire a un attaccante di autenticarsi ai servizi VPN esposti e ottenere un accesso iniziale alla rete interna dell’organizzazione. Un accesso effettuato tramite canali apparentemente legittimi può ridurre la capacità di rilevamento da parte dei sistemi di sicurezza perimetrali e favorire successive attività ostili, tra cui movimento laterale, modifica delle configurazioni, creazione di utenze non autorizzate, esfiltrazione di dati o distribuzione di malware.

Aggiornamento del 6 ottobre 2026

Un advisory congiunto del Federal Bureau of Investigation (FBI) e dello United States Secret Service (USSS) segnala il proseguimento delle attività malevole riconducibili alla campagna FortiBleed, finalizzate alla compromissione di credenziali e all’accesso non autorizzato a dispositivi Fortinet FortiGate esposti su Internet.

Secondo quanto riportato, gli attaccanti utilizzano credenziali precedentemente compromesse e tecniche di attacco alle password per ottenere accesso ai dispositivi. Le attività osservate comprendono la creazione di account amministrativi non autorizzati per mantenere la persistenza e, in alcuni casi, la modifica o l’eliminazione degli account legittimi, impedendo agli amministratori di accedere ai sistemi interessati.

Sono state inoltre documentate attività di ricognizione degli account Active Directory e tentativi di estensione della compromissione alle reti interne. L’advisory segnala, infine, il coinvolgimento di Initial Access Broker che, sfruttando la catena di attacco FortiBleed, hanno fornito successivamente l’accesso a gruppi affiliati a operazioni ransomware. Tra i gruppi attualmente identificati figurano INC/Lynx ransomware e Payload ransomware.

Azioni di mitigazione

Gli utenti e le organizzazioni possono ridurre il rischio di compromissione valutando l’implementazione delle seguenti misure preventive:

• aggiornare tempestivamente gli apparati Fortinet/FortiGate esposti su Internet alle versioni più recenti supportate dal vendor;
• verificare l’eventuale esposizione pubblica di interfacce amministrative e pannelli di gestione FortiGate;
• rimuovere l’esposizione diretta su Internet delle interfacce amministrative, consentendo l’accesso esclusivamente da reti interne, indirizzi IP autorizzati, jump host o canali VPN dedicati;
• ruotare le credenziali amministrative e SSL-VPN associate agli apparati potenzialmente coinvolti, verificando l’eventuale riutilizzo delle stesse su altri sistemi aziendali ed imponendo contestualmente policy per l’implementazione di password robuste ( strong password policies );
• abilitare l’autenticazione multifattore resistente al phishing ( phishing-resistant MFA ) per tutti gli accessi VPN e amministrativi, con particolare attenzione agli account privilegiati, garantendone l’applicazione restrittiva su tutti i gateway esterni e le interfacce di gestione;
• disabilitare utenze locali, legacy, condivise o non più necessarie;
• verificare la presenza di modifiche non autorizzate a configurazioni VPN, policy firewall, route statiche, oggetti di rete, gruppi di accesso e server di autenticazione;
• analizzare i log SSL-VPN e amministrativi per individuare accessi anomali, login da indirizzi IP o aree geografiche non coerenti, tentativi di autenticazione falliti ed eventuali esportazioni di configurazione non autorizzate;
• integrare i log Fortinet/FortiGate nei sistemi di monitoraggio e SIEM aziendali, configurando alert su accessi VPN sospetti, modifiche amministrative ed eventi di autenticazione anomali;
• valutare la progressiva rimozione dell’accesso remoto basato su SSL-VPN e la migrazione verso IPsec VPN, anche in considerazione dell’evoluzione introdotta da Fortinet a partire da FortiOS 7.6.3;
• terminare forzatamente tutte le sessioni SSL-VPN e le sessioni amministrative attive e revocare i token di autenticazione correnti, in modo da interrompere la persistenza di sessioni non autorizzate già stabilite prima della rotazione delle credenziali o dell’applicazione delle patch;
• estendere con urgenza le attività di vulnerabiliy assessment e installazione delle patch di sicurezza anche agli asset dell’ecosistema interno (specificamente FortiSandbox e FortiClient EMS), al fine di neutralizzare la catena di exploit automatizzata utilizzata dagli attaccanti per il movimento laterale post-accesso;
• garantire l’adozione dell’algoritmo PBKDF2 ( Password-Based Key Derivation Function 2 ) per l’archiviazione sicura delle credenziali degli amministratori su FortiOS (funzionalità disponibile a partire da FortiOS v7.2.11 e successive), provvedendo alla rimozione attiva degli hash legacy, più deboli, in conformità con le linee guida del vendor.

Azioni di Verifica/Monitoraggio

Al fine di identificare potenziali evidenze di sfruttamento e la conseguente esfiltrazione di informazioni sensibili, si raccomanda di valutare una verifica retrospettiva sui log dei dispositivi Fortigate.

Un eventuale attività di esfiltrazione della configurazione potrebbe comportare la presenza di tracce nei log di sistema; risulta quindi necessario procedere come elencato di seguito:

• accedere alla sezione System > Events della console di gestione di FortiOS;
• filtrare i messaggi utilizzando la stringa chiave config (oppure *config*: la stringa esatta può variare leggermente in base alla versione specifica di FortiOS in uso);
• identificare i messaggi che notificano l’avvenuta esportazione della configurazione del dispositivo;
• analizzare puntualmente l’account utente associato ad ogni evento di esportazione. Prestare, quindi, attenzione a:
• eventi relativi ad account amministrativi (Admin) in orari anomali o da IP non censiti nelle ACL di gestione;
• attività eseguite da account dedicati alle REST API , che potrebbero essere stati abusati o creati ad hoc dagli attaccanti a seguito del furto delle credenziali iniziali;
• estendere le attività di monitoraggio e revisione dei log ai Domain Controller aziendali, alla ricerca di potenziali anomalie di accesso, account sospetti o evidenze di movimenti laterali avvenuti dopo l’autenticazione iniziale sui gateway VPN.

Alla luce delle ulteriori evidenze pubblicate da FBI e USSS, si raccomanda inoltre di:

• verificare le chiavi API configurate, rimuovendo quelle non riconosciute e rinnovando quelle legittime ove necessario;
• verificare gli utenti del firewall e della VPN, nonché le altre configurazioni del dispositivo, al fine di individuare eventuali modifiche non autorizzate. Ove possibile, confrontare la configurazione corrente con una baseline/backup noto e affidabile.

In caso di riscontro positivo, si raccomanda di avviare tempestivamente attività di incident response, includendo acquisizione e conservazione dei log, rotazione completa delle credenziali, revisione delle configurazioni, verifica degli accessi VPN e analisi di eventuali movimenti laterali successivi all’autenticazione remota. Qualora l’evento configuri un incidente di sicurezza, si raccomanda di procedere alla relativa notifica allo CSIRT Italia secondo le modalità previste.

Infine, si raccomanda di valutare l’implementazione sui propri apparati di sicurezza degli Indicatori di Compromissione (IoC) ^[1] disponibili al link all’advisory di FBI e USSS, riportato nella sezione riferimenti.

[1] Per definizione, non tutti gli indicatori di compromissione sono malevoli. Questo CSIRT non ha alcuna responsabilità per l’attuazione di eventuali azioni proattive (es. inserimento degli IoC in blocklist) relative agli indicatori forniti. Le informazioni contenute in questo documento rappresentano la migliore comprensione della minaccia al momento del rilascio.