Para quem é este conteúdo: qualquer pessoa que opera FortiGate (o firewall e appliance de VPN da Fortinet) internamente ou que tem o equipamento administrado por um prestador terceirizado. Esta página é baseada em informações públicas da Fortinet, CISA, JPCERT/CC, CSA de Singapura, FBI e Serviço Secreto dos EUA. Ela não trata de como os ataques funcionam e não lista endereços IP de atacantes.
続報待ち：この記事は公式発表に合わせて更新します
Em 26 de outubro de 2026 (JST)まだ分かっていないこと
- Como as credenciais foram obtidas pela primeira vez (a Fortinet atribui à reutilização de incidentes anteriores e a ataques de força bruta)
- Quantas organizações no Japão foram afetadas, e quais
- Andamento do contato direto da Fortinet com os clientes
A CISA publicou em 18 de junho, a Fortinet em 19 de junho e a JPCERT/CC em 23 de junho. Em 6 de outubro, o FBI e o Serviço Secreto dos EUA alertaram que os ataques continuam. Atualizaremos esta página quando novas informações forem publicadas.
O que fazer hoje
Encerre as sessões de administrador e de VPN e depois troque as senhas
Encerre todas as sessões administrativas e de SSL VPN ativas. Em seguida, troque todas as senhas de administrador e de VPN, especialmente em dispositivos expostos à internet (Fortinet, CISA, FBI). Se a mesma senha foi usada em outros serviços, troque também essas (recomendação deste site).
Ative a autenticação multifator
Ative a autenticação multifator em todas as contas de administrador e de VPN. A CISA e o FBI pedem métodos resistentes a phishing (passkeys e chaves de segurança de hardware atendem a esse requisito). Veja Como escolher MFA da forma certa para saber como escolher.
Retire a interface de gerenciamento da internet
O FBI lista três níveis: restringir o acesso a hosts confiáveis (bom), restringi-lo com uma política local-in (melhor) ou remover totalmente a administração pela internet (o ideal). Busque o ideal.
Atualize o firmware e mantenha apenas o PBKDF2
A Fortinet recomenda a versão mais recente da linha 7.4, 7.6 ou 8.0. O PBKDF2 (um método de armazenamento de senhas lento para quebrar) está disponível a partir das versões 7.2.11, 7.4.8 e 7.6.1. A troca de senha ainda deixa uma cópia legada em SHA-256 na configuração, então remova-a seguindo a orientação técnica da Fortinet. A seção abaixo explica como.
Verifique a configuração e as contas
Compare a configuração com uma cópia conhecida como boa e procure contas de administrador, usuários de VPN e alterações desconhecidas. A Fortinet pede que você fique atento a contas com nomes que imitam o suporte da empresa (por exemplo, forticloud). O FBI também pede que você revise as chaves de API REST e remova as que não reconhecer.
Revise os logs
Verifique os logins de administrador, as exportações de configuração e as origens dos logins de VPN. Se o FortiGate estiver conectado ao Active Directory ou ao LDAP, trate a conta de integração como comprometida e revise também os logs dos controladores de domínio (Fortinet, JPCERT/CC). Se algo parecer errado, isole o dispositivo, preserve os registros e entre em contato com o suporte da Fortinet ou com o CERT nacional.
Você está afetado? Uma verificação rápida
| Situação | Avaliação deste site |
|---|---|
| A interface de gerenciamento do FortiGate ou a SSL VPN é acessível pela internet | Considere-se afetado e execute todas as etapas acima |
| O firmware já está em uma versão corrigida | As senhas ainda precisam ser trocadas (as credenciais vazaram) |
| Versão anterior a 7.2.11, 7.4.8 ou 7.6.1 | O PBKDF2 não está disponível; planeje uma atualização para a 7.4 ou posterior |
| Uma ferramenta de consulta não encontrou você | Não considere isso uma garantia (cadastros feitos por terceirizados podem não aparecer com o seu domínio) |
| Um prestador terceirizado opera o dispositivo | Confirme com ele que as senhas foram trocadas, o MFA está ativo e os logs foram revisados |
| Você tem VPNs site-to-site com outras empresas | Considere o impacto caso o outro lado seja comprometido (JPCERT/CC) |
O que aconteceu (segundo órgãos públicos e a Fortinet)
18 de junho de 2026
A CISA pediu que as organizações reforçassem os dispositivos Fortinet, citando relatos globais de que credenciais associadas a cerca de 74.000 dispositivos Fortinet (firewalls e gateways de VPN) haviam vazado. Em 22 de junho, incluiu um link para a orientação da Fortinet.19 de junho de 2026
A Fortinet publicou sua análise. Afirmou que não se trata de uma nova vulnerabilidade e que a atividade provavelmente envolve reutilização de credenciais de incidentes anteriores e ataques de força bruta contra dispositivos com senhas fracas e sem MFA. Disse que está entrando em contato com clientes potencialmente afetados.22 de junho de 2026
A Cyber Security Agency (CSA) de Singapura alertou que credenciais de mais de 70.000 dispositivos FortiGate haviam vazado.23 de junho de 2026
A JPCERT/CC emitiu um alerta (JPCERT-AT-2026-0019), afirmando ter confirmado que os dados incluem informações relacionadas a empresas japonesas.6 de outubro de 2026
O FBI e o Serviço Secreto dos EUA emitiram um aviso conjunto (JCSA-20261006-01): a atividade continua, alguns administradores foram impedidos de acessar e o acesso tem sido usado como porta de entrada para ransomware.
- Tipo
- Credenciais vazadas e logins usando-as. Nenhum novo CVE (a Fortinet afirma que não se trata de uma nova vulnerabilidade)
- Alvos
- Firewalls FortiGate e gateways de SSL VPN expostos à internet
- Escala
- CISA: cerca de 74.000 dispositivos. O FBI e a JPCERT/CC citam a contagem de uma empresa privada de segurança de mais de 86.644 dispositivos em 194 países
- Visão da Fortinet
- Não é uma nova vulnerabilidade. Reutilização de credenciais de incidentes anteriores (avisos da Fortinet FG-IR-26-060 e FG-IR-25-647) somada a ataques de força bruta
- Descrição do FBI
- Logins com credenciais vazadas e logs de infostealers, quebra offline de hashes de senhas extraídos dos dispositivos e novas contas de administrador criadas para manter o acesso
- Japão
- A JPCERT/CC confirmou que os dados incluem informações relacionadas a empresas japonesas
Os dois avisos que a Fortinet cita como incidentes anteriores tratam de falhas de bypass de autenticação no single sign-on do FortiCloud (FG-IR-25-647: CVE-2025-59718 e CVE-2025-59719; FG-IR-26-060: CVE-2026-24858). Ambos são conhecidos por terem sido explorados. A Fortinet pede que os clientes confirmem que as etapas de correção descritas nesses avisos foram concluídas. Para o FortiOS, o FG-IR-26-060 está corrigido nas versões 7.6.6, 7.4.11, 7.2.13 e 7.0.19.
Por que atualizar não resolve tudo
Este é o ponto que este site mais quer destacar. Corrigir uma vulnerabilidade normalmente termina com a instalação da versão corrigida, mas aqui o que vazou são as próprias senhas. Se arquivos de configuração ou credenciais foram obtidos enquanto uma falha antiga estava aberta, essas senhas continuam funcionando depois da atualização.
A JPCERT/CC explica que os arquivos de configuração do FortiGate contêm hashes das senhas de administrador (valores transformados de modo que não podem ser revertidos diretamente), por isso, se um arquivo de configuração foi obtido, as senhas podem ser quebradas offline, sem acesso ao dispositivo. O FBI também afirma que credenciais reutilizadas e o armazenamento legado em SHA-256 permitem que os atacantes coletem e quebrem dados de autenticação em escala.
Não é suficiente
- Firmware atualizado, mas as senhas não foram trocadas
- Senhas trocadas, mas as cópias legadas permanecem
- Sem MFA, e a interface de gerenciamento aberta à internet
- FortiGate corrigido, mas o Active Directory conectado não foi analisado
Vá até o fim
- Troque as senhas de todas as contas de administrador, VPN e integração
- Remova as cópias legadas para que reste apenas o PBKDF2
- Ative o MFA e feche a interface de gerenciamento
- Verifique contas, chaves de API e logs
1. Vazamento de credenciais
Incidentes anteriores, reutilização, força bruta
2. Login no administrador ou na VPN
Impedir: MFA, fechar a interface de gerenciamento
3. Propagação interna
Impedir: verificar contas e logs, revisar a integração com o AD
Como remover as cópias legadas das senhas (mantendo apenas o PBKDF2)
De acordo com a orientação técnica da Fortinet, o PBKDF2 está disponível a partir das versões 7.2.11, 7.4.8 e 7.6.1. Versões anteriores armazenam em SHA-256. Após a atualização, a senha de cada administrador permanece em SHA-256 até que o administrador faça login uma vez.
Além disso, mesmo após a troca de senha, o hash SHA-256 anterior é mantido por compatibilidade retroativa em um campo oculto (old-password) na configuração. O login não o remove. Para removê-lo, depois que todos os administradores tiverem feito login na nova versão (e os administradores que não fizeram login tiverem tido suas senhas trocadas), ative a configuração indicada na orientação da Fortinet (login-lockout-upon-weaker-encryption nas versões 7.6 e posteriores, login-lockout-upon-downgrade nas versões 7.2 e 7.4).
Verifique antes de ativar
A orientação da Fortinet diz que, após ativar essa configuração, um rebaixamento para uma versão sem suporte a PBKDF2 bloqueia os administradores. Ative-a somente depois que todos os administradores tiverem feito login ou tido a senha trocada, e quando não houver planos de rebaixamento.
Para entender como os métodos de armazenamento de senhas diferem, veja O que é hash de senhas?.
Se você foi bloqueado ou suspeita de comprometimento
O FBI descreve casos em que atacantes criaram novas contas de administrador e depois excluíram as contas originais ou alteraram suas senhas, bloqueando os proprietários. Uma redefinição de senha, sozinha, não resolve essa situação.
Se houver suspeita de comprometimento, o FBI pede que as organizações isolem o dispositivo e coletem logs, configuração e outros registros antes de agir. A Fortinet diz para tratar o dispositivo como comprometido e seguir sua orientação de recuperação. A CSA de Singapura sugere considerar uma restauração de fábrica se houver suspeita de persistência, mas somente depois de coletar os registros, porque a restauração os destrói.
Para saber o que acontece quando isso se transforma em ransomware, veja O que é ransomware. Para a defesa de dispositivos VPN em geral, veja Como proteger dispositivos VPN e acesso remoto.
O que ainda é desconhecido
| Item | Situação |
|---|---|
| Se é uma nova vulnerabilidade | Não é uma nova vulnerabilidade (Fortinet) |
| Se os ataques continuam | Continuam (FBI e Serviço Secreto dos EUA, 6 de outubro) |
| Como as credenciais foram obtidas pela primeira vez | A Fortinet atribui à reutilização de incidentes anteriores e a ataques de força bruta; não totalmente esclarecido |
| Se os dados vazados ainda podem ser usados | A JPCERT/CC afirma que alguns pesquisadores apontam que podem incluir credenciais ainda válidas, e que não devem ser tratados apenas como dados antigos reciclados |
| Organizações afetadas no Japão | Confirmado que estão incluídas (JPCERT/CC); número e nomes não divulgados |
| Número de incidentes resultantes (ransomware e outros) | Não divulgado |
Nem os órgãos públicos nem a Fortinet identificaram as organizações afetadas. Este site não especula sobre organizações específicas.
Fontes
- Fortinet PSIRT, "Analysis of Reported Credential Compromise of FortiGate Devices" (19 de junho de 2026) — fortinet.com
- Fortinet, "Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later" — community.fortinet.com
- Fortinet, "FG-IR-26-060" (CVE-2026-24858) — fortiguard.com / "FG-IR-25-647" (CVE-2025-59718, CVE-2025-59719) — fortiguard.com
- CISA, "CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure" (18 de junho de 2026, revisado em 22 de junho) — cisa.gov
- JPCERT/CC, alerta sobre credenciais vazadas relacionadas a produtos Fortinet (JPCERT-AT-2026-0019, 23 de junho de 2026, em japonês) — jpcert.or.jp
- CSA de Singapura, "Advisory on Credential Compromise of FortiGate Devices ("FortiBleed")" (AD-2026-007, 22 de junho de 2026) — csa.gov.sg
- FBI e Serviço Secreto dos EUA, "FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts" (JCSA-20261006-01, 6 de outubro de 2026) — ic3.gov
Registro de alterações
2026-10-26: Primeira versão, com base em publicações da Fortinet, CISA, JPCERT/CC, CSA de Singapura, FBI e Serviço Secreto dos EUA.
Leia em seguida
- Defesa de dispositivos expostos: Como proteger dispositivos VPN e acesso remoto
- Falhas de dispositivos de borda exploradas por volta da mesma época: Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026
- Tendências: Vazamentos em 2026 dependem mais de credenciais válidas do que de vulnerabilidades
- MFA: Como escolher MFA da forma certa
- Termos: O que é hash de senhas? / O que é ransomware