Alerta de Segurança - FortiBleed (Fortinet)

Foi identificada uma campanha ativa, associada credenciais comprometidas e designada publicamente por FortiBleed, dirigida a firewalls e gateways VPN SSL Fortinet (FortiGate) expostos à Internet [1][2]. Segundo, o fabricante Fortinet, os dados resultam da reutilização de informação de incidentes anteriores e de ataques de força bruta de credenciais, não estando associados a qualquer alerta de segurança recente [3]. Não existe CVE associado.

A origem das credenciais inclui a reutilização de fugas anteriores, ataques de credential stuffing e password spraying contra interfaces de gestão e de VPN, e a exfiltração de ficheiros de configuração [2][4].

É possível consultar o seguinte website para avaliar se poderá ter sido afetado: FortiBleed Checker da Hudson Rock

A posse de credenciais válidas permite a um atacante autenticar-se diretamente nas interfaces de gestão ou de VPN, obtendo acesso administrativo ou acesso remoto à rede interna sem a necessidade de explorar qualquer vulnerabilidade. As organizações cujos equipamentos constem do conjunto de dados devem considerar o risco de interceção de tráfego, recolha de credenciais adicionais, movimento lateral e persistência [1]. 
Recomenda-se às entidades que possam ter sido afetadas [1][5][6]:

• Alterar todas as credenciais administrativas e de VPN, em particular as não alteradas há vários meses;
• Ativar autenticação multifator (MFA) em, pelo menos, contas administrativas e de acesso remoto;
• Remover as interfaces de gestão da exposição direta à Internet, restringindo o acesso a redes de confiança;
• Rever os logs de autenticação e de VPN de forma a identificar de acessos não expectáveis;
• Manter o firmware atualizado;
• Alterar as credenciais de contas de serviço AD/LDAP armazenadas nas configurações dos equipamentos;
• Verificar a configuração e o estado de atualização do FortiCloud SSO, dada a exploração ativa de vulnerabilidades (CVE-2025-59718, CVE-2025-59719 e CVE-2026-24858) [6];
• Efetuar uma avaliação de comprometimento às estações de administração e aos endpoints de acesso VPN, em particular onde existam credenciais guardadas no FortiClient ou no browser, procurando indícios de infostealer antes de proceder à rotação de credenciais.

[1] - https://socradar.io/blog/fortibleed-fortinet-firewalls-compromised/
[2] - https://www.hudsonrock.com/blog/fortibleed-75000-fortinet-firewalls-compromised-global-enterprises-exposed-claim-your-ethical-disclosure
[3] - https://techcrunch.com/2026/06/17/cybercriminals-allegedly-hacked-tens-of-thousands-of-fortinet-firewalls-used-by-major-companies-all-over-the-world/
[4] - https://doublepulsar.com/fortibleed-75k-fortinet-firewalls-have-admin-passwords-cracked-60299faa65f8
[5] - https://docs.fortinet.com/document/fortigate/6.4.0/hardening-your-fortigate/582009/system-administrator-best-practices
[6] - https://www.cisa.gov/news-events/alerts/2026/01/28/fortinet-releases-guidance-address-ongoing-exploitation-authentication-bypass-vulnerability-cve-2026