Для кого это: для всех, кто использует FortiGate (межсетевой экран и VPN-устройство Fortinet) самостоятельно или через подрядчика. Страница основана на общедоступной информации от Fortinet, CISA, JPCERT/CC, CSA Сингапура, ФБР и Секретной службы США. Здесь не описывается механизм атак и не приводятся IP-адреса атакующих.
続報待ち：この記事は公式発表に合わせて更新します
По состоянию на 26 октября 2026 года (JST)まだ分かっていないこと
- Как учетные данные были получены изначально (Fortinet связывает это с повторным использованием данных из прошлых инцидентов и перебором паролей)
- Сколько и каких организаций в Японии затронуто
- Ход прямого информирования клиентов Fortinet
CISA опубликовала сообщение 18 июня, Fortinet — 19 июня, JPCERT/CC — 23 июня. 6 октября ФБР и Секретная служба США предупредили, что атаки продолжаются. Мы обновим эту страницу, когда появится новая информация.
Что сделать сегодня
Завершите сеансы администратора и VPN, затем смените пароли
Завершите все активные административные сеансы и сеансы SSL VPN. Затем смените каждый пароль администратора и VPN, в первую очередь на устройствах, доступных из интернета (Fortinet, CISA, ФБР). Если тот же пароль использовался в других сервисах, смените и их (рекомендация этого сайта).
Включите многофакторную аутентификацию
Включите многофакторную аутентификацию для каждой учетной записи администратора и VPN. CISA и ФБР просят использовать устойчивые к фишингу методы (подходят ключи доступа и аппаратные ключи безопасности). Как выбрать способ, см. Как правильно выбирать MFA.
Закройте интерфейс управления от интернета
ФБР выделяет три уровня: ограничить доступ доверенными хостами (хорошо), ограничить его локальной политикой local-in (лучше) или полностью убрать администрирование из интернета (лучше всего). Стремитесь к последнему варианту.
Обновите прошивку и оставьте только PBKDF2
Fortinet рекомендует последние выпуски 7.4, 7.6 или 8.0. PBKDF2 (метод хранения паролей, который медленно подбирается) доступен начиная с 7.2.11, 7.4.8 и 7.6.1. После смены пароля в конфигурации все равно остается устаревшая копия SHA-256, поэтому удалите ее по техническим рекомендациям Fortinet. Как это сделать, описано в разделе ниже.
Проверьте конфигурацию и учетные записи
Сравните конфигурацию с заведомо корректной копией и поищите неизвестные учетные записи администратора, пользователей VPN и изменения. Fortinet просит обратить внимание на учетные записи с именами, которые имитируют службу поддержки Fortinet (например, forticloud). ФБР также просит проверить ключи REST API и удалить те, которые вам неизвестны.
Проверьте журналы
Проверьте входы администраторов, экспорт конфигураций и источники входов в VPN. Если FortiGate подключен к Active Directory или LDAP, считайте учетную запись интеграции скомпрометированной и изучите также журналы контроллеров домена (Fortinet, JPCERT/CC). Если что-то выглядит неправильно, изолируйте устройство, сохраните записи и свяжитесь с поддержкой Fortinet или национальным CERT.
Затронуты ли вы? Быстрая проверка
| Ситуация | Оценка этого сайта |
|---|---|
| Интерфейс управления FortiGate или SSL VPN доступен из интернета | Считайте, что вы затронуты, и выполните все шаги выше |
| Прошивка уже исправленной версии | Пароли все равно нужно менять (учетные данные утекли) |
| Используется версия ниже 7.2.11, 7.4.8 или 7.6.1 | PBKDF2 недоступна; запланируйте обновление до 7.4 или новее |
| Инструмент проверки вас не нашел | Не принимайте это как гарантию (регистрации, сделанные подрядчиками, могут не отображаться под вашим доменом) |
| Устройство обслуживает подрядчик | Уточните у него, что пароли сменены, MFA включена и журналы проверены |
| У вас есть site-to-site VPN с другими компаниями | Учитывайте последствия, если другая сторона скомпрометирована (JPCERT/CC) |
Что произошло (по данным государственных ведомств и Fortinet)
18 июня 2026
CISA призвала организации укрепить защиту устройств Fortinet, сославшись на глобальные сообщения о том, что учетные данные, связанные примерно с 74 000 устройств Fortinet (межсетевых экранов и VPN-шлюзов), утекли. 22 июня она добавила ссылку на рекомендации Fortinet.19 июня 2026
Fortinet опубликовала свой анализ. Компания заявила, что это не новая уязвимость, и что активность, вероятно, связана с повторным использованием учетных данных из прошлых инцидентов и перебором паролей на устройствах со слабыми паролями и без MFA. Fortinet сообщила, что связывается с потенциально затронутыми клиентами.22 июня 2026
Агентство по кибербезопасности Сингапура (CSA) предупредило, что учетные данные более 70 000 устройств FortiGate утекли.23 июня 2026
JPCERT/CC выпустила оповещение (JPCERT-AT-2026-0019), в котором сообщила, что подтвердила наличие в данных информации, связанной с японскими компаниями.6 октября 2026
ФБР и Секретная служба США выпустили совместный бюллетень (JCSA-20261006-01): активность продолжается, некоторые администраторы заблокированы, а доступ использовался как точка входа для программ-вымогателей.
- Тип
- Утекшие учетные данные и входы с их использованием. Новый CVE отсутствует (Fortinet заявляет, что это не новая уязвимость)
- Цели
- Межсетевые экраны FortiGate и шлюзы SSL VPN, доступные из интернета
- Масштаб
- CISA: около 74 000 устройств. ФБР и JPCERT/CC ссылаются на подсчет частной компании в сфере безопасности: более 86 644 устройств в 194 странах
- Позиция Fortinet
- Не новая уязвимость. Повторное использование учетных данных из прошлых инцидентов (бюллетени Fortinet FG-IR-26-060 и FG-IR-25-647) плюс перебор паролей
- Описание ФБР
- Входы с утекшими учетными данными и журналами infostealer, офлайн-подбор хешей паролей, взятых с устройств, и новые учетные записи администратора, созданные для сохранения доступа
- Япония
- JPCERT/CC подтвердила, что в данных есть информация, связанная с японскими компаниями
Два бюллетеня, которые Fortinet называет прошлыми инцидентами, касаются обхода аутентификации в FortiCloud single sign-on (FG-IR-25-647: CVE-2025-59718 и CVE-2025-59719; FG-IR-26-060: CVE-2026-24858). Известно, что оба эксплуатировались. Fortinet просит клиентов подтвердить, что шаги по устранению из этих бюллетеней выполнены. Для FortiOS FG-IR-26-060 исправлена в версиях 7.6.6, 7.4.11, 7.2.13 и 7.0.19.
Почему обновление не решает проблему
Это главный вывод, который этот сайт хочет донести. Обычно устранение уязвимости заканчивается установкой исправленной версии, но здесь утекли сами пароли. Если файлы конфигурации или учетные данные были получены, пока открыта более ранняя уязвимость, эти пароли продолжат работать и после обновления.
JPCERT/CC объясняет, что файлы конфигурации FortiGate содержат хеши паролей администраторов (значения, преобразованные так, что их нельзя напрямую обратить), поэтому, если файл конфигурации был получен, пароли можно подобрать офлайн без доступа к устройству. ФБР также указывает, что повторно используемые учетные данные и устаревшее хранение в SHA-256 позволяют злоумышленникам собирать и подбирать данные аутентификации в большом масштабе.
Недостаточно
- Прошивка обновлена, но пароли не изменены
- Пароли изменены, но устаревшие копии остались
- Нет MFA, а интерфейс управления открыт в интернет
- FortiGate исправлен, но подключенный Active Directory не проверялся
Сделайте так
- Смените пароли всех учетных записей администратора, VPN и интеграции
- Удалите устаревшие копии, чтобы осталась только PBKDF2
- Включите MFA и закройте интерфейс управления
- Проверьте учетные записи, ключи API и журналы
1. Утечка учетных данных
Прошлые инциденты, повторное использование, перебор
2. Вход в администрирование или VPN
Остановить: MFA, закрыть интерфейс управления
3. Распространение внутри сети
Остановить: проверить учетные записи и журналы, изучить интеграцию с AD
Удаление устаревших копий паролей (остается только PBKDF2)
По техническим рекомендациям Fortinet, PBKDF2 доступна начиная с 7.2.11, 7.4.8 и 7.6.1. В более ранних версиях используется SHA-256. После обновления пароль каждого администратора остается в SHA-256, пока этот администратор хотя бы раз не войдет в систему.
Кроме того, даже после смены пароля предыдущий хеш SHA-256 сохраняется для обратной совместимости в скрытом поле (old-password) конфигурации. Вход в систему его не удаляет. Чтобы удалить его, после того как все администраторы вошли в систему на новой версии (а те, кто не входил, получили смену пароля), включите настройку из рекомендаций Fortinet (login-lockout-upon-weaker-encryption в версиях 7.6 и новее, login-lockout-upon-downgrade в 7.2 и 7.4).
Проверьте перед включением
По рекомендациям Fortinet, после включения этой настройки откат на версию без поддержки PBKDF2 заблокирует администраторов. Включайте ее, только когда все администраторы вошли в систему или получили новый пароль и когда у вас нет планов на откат.
Об отличиях способов хранения паролей см. Что такое хеширование паролей?.
Если вы заблокированы или подозреваете компрометацию
ФБР описывает случаи, когда злоумышленники создавали новые учетные записи администратора, а затем удаляли исходные или меняли их пароли, блокируя владельцев. Одного лишь сброса пароля для восстановления недостаточно.
Если есть подозрение на компрометацию, ФБР просит организации изолировать устройство и собрать журналы, конфигурацию и другие записи до любых действий. Fortinet советует считать устройство скомпрометированным и следовать ее рекомендациям по восстановлению. CSA Сингапура предлагает рассмотреть сброс к заводским настройкам, если есть подозрение на закрепление в системе, но сначала собрать записи, поскольку сброс их уничтожает.
О том, что происходит, когда дело доходит до программ-вымогателей, см. Что такое программа-вымогатель. Общие рекомендации по защите VPN-устройств см. в Как защитить VPN-устройства и удалённый доступ.
Что пока неизвестно
| Вопрос | Статус |
|---|---|
| Является ли это новой уязвимостью | Не новая уязвимость (Fortinet) |
| Продолжаются ли атаки | Продолжаются (ФБР и Секретная служба США, 6 октября) |
| Как учетные данные были получены изначально | Fortinet связывает это с повторным использованием данных из прошлых инцидентов и перебором паролей; полностью не установлено |
| Можно ли еще использовать утекшие данные | JPCERT/CC сообщает, что некоторые исследователи указывают, что в них могут быть действующие учетные данные, и что их не следует считать только повторно распространяемыми старыми данными |
| Затронутые организации в Японии | Подтверждено, что они включены (JPCERT/CC); количество и названия не опубликованы |
| Число инцидентов (программы-вымогатели и прочие) | Не опубликовано |
Ни государственные ведомства, ни Fortinet не назвали затронутые организации. Этот сайт не строит предположений о конкретных организациях.
Источники
- Fortinet PSIRT, "Analysis of Reported Credential Compromise of FortiGate Devices" (19 июня 2026) — fortinet.com
- Fortinet, "Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later" — community.fortinet.com
- Fortinet, "FG-IR-26-060" (CVE-2026-24858) — fortiguard.com / "FG-IR-25-647" (CVE-2025-59718, CVE-2025-59719) — fortiguard.com
- CISA, "CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure" (18 июня 2026, обновлено 22 июня) — cisa.gov
- JPCERT/CC, оповещение об утекших учетных данных, связанных с продуктами Fortinet (JPCERT-AT-2026-0019, 23 июня 2026, на японском языке) — jpcert.or.jp
- CSA Сингапура, "Advisory on Credential Compromise of FortiGate Devices ("FortiBleed")" (AD-2026-007, 22 июня 2026) — csa.gov.sg
- ФБР и Секретная служба США, "FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts" (JCSA-20261006-01, 6 октября 2026) — ic3.gov
Журнал изменений
2026-10-26: первая версия, основанная на публикациях Fortinet, CISA, JPCERT/CC, CSA Сингапура, ФБР и Секретной службы США.
Читайте далее
- Защита доступных из интернета устройств: Как защитить VPN-устройства и удалённый доступ
- Уязвимости пограничных устройств, эксплуатировавшиеся примерно в то же время: Эксплуатируемые уязвимости периферийных устройств, середина октября 2026
- Тенденции: В 2026 году взломы чаще шли через действующие учётные данные, чем через уязвимости
- MFA: Как правильно выбирать MFA
- Термины: Что такое хеширование паролей? / Что такое программа-вымогатель