适用对象：在内部自行运维或由承包商代为运维FortiGate（Fortinet的防火墙和VPN设备）的任何人。本页基于Fortinet、CISA、JPCERT/CC、新加坡CSA、FBI和美国特勤局发布的公开信息。本页不涉及攻击的运作方式，也不列出攻击者的IP地址。
続報待ち：この記事は公式発表に合わせて更新します
截至2026年10月26日（JST）まだ分かっていないこと
- 凭证最初是如何获得的（Fortinet将其归因于重复使用既往事件中的凭证以及暴力破解）
- 日本有多少组织受到影响，以及是哪些组织
- Fortinet直接联系客户的进展
CISA于6月18日发布通报，Fortinet于6月19日发布，JPCERT/CC于6月23日发布。10月6日，FBI和美国特勤局警告攻击仍在持续。有新信息发布时，我们将更新本页。
今天应做什么
结束管理员和VPN会话，然后更改密码
终止所有活动的管理员会话和SSL VPN会话。然后更改每个管理员和VPN密码，尤其是面向互联网的设备（Fortinet、CISA、FBI）。如果同一密码也用于其他服务，也应一并更改（本站建议）。
启用多因素认证
为每个管理员和VPN账户启用多因素认证。CISA和FBI建议使用抗钓鱼的方式（通行密钥和硬件安全密钥符合要求）。选择方法的详细说明请参阅正确选择MFA。
将管理界面移出互联网
FBI列出了三个级别：限制仅受信任主机访问（良好）、使用本地入站策略（local-in policy）进行限制（更好）、完全取消互联网管理（最佳）。应力求达到最佳。
升级固件并只保留PBKDF2
Fortinet建议升级到最新的7.4、7.6或8.0版本。PBKDF2（一种难以破解的密码存储方式）从7.2.11、7.4.8和7.6.1起可用。更改密码后，配置中仍会保留旧版SHA-256副本，因此请按照Fortinet的技术指南将其删除。下文说明了具体方法。
检查配置和账户
将配置与已知正常的副本进行比较，并查找未知的管理员账户、VPN用户和变更记录。Fortinet提醒您留意名称模仿其支持团队的账户（例如forticloud）。FBI还要求您审查REST API密钥，并删除任何无法识别的密钥。
审查日志
检查管理员登录、配置导出和VPN登录来源。如果FortiGate与Active Directory或LDAP相连，应将集成账户视为已泄露，并同时审查域控制器日志（Fortinet、JPCERT/CC）。如发现任何异常，请隔离设备、保存记录，并联系Fortinet支持或您所在国家的CERT。
您是否受影响？快速检查
| 情况 | 本站评估 |
|---|---|
| FortiGate管理界面或SSL VPN可从互联网访问 | 假定您受到影响，并完成上述所有步骤 |
| 固件已是已修复版本 | 仍需更改密码（凭证已泄露） |
| 运行的版本早于7.2.11、7.4.8或7.6.1 | PBKDF2不可用；请计划升级到7.4或更高版本 |
| 查询工具未发现您的设备 | 不要将其视为安全保证（承包商的注册信息可能不会显示在您的域名下） |
| 由承包商运维设备 | 与其确认密码已更改、MFA已启用且日志已审查 |
| 与其他公司之间有站点到站点VPN | 考虑对方被攻陷时的影响（JPCERT/CC） |
事件经过（来自公共机构和Fortinet）
2026年6月18日
CISA敦促各组织加固Fortinet设备，并引用全球报告称，约74,000台Fortinet设备（防火墙和VPN网关）相关的凭证已泄露。6月22日，CISA添加了指向Fortinet指南的链接。2026年6月19日
Fortinet发布了其分析报告。报告称这不是新漏洞，此次活动可能涉及重复使用既往事件中的凭证，以及对密码较弱且未启用MFA的设备进行暴力破解。报告还称正在联系可能受影响的客户。2026年6月22日
新加坡网络安全局（CSA）警告，超过70,000台FortiGate设备的凭证已泄露。2026年6月23日
JPCERT/CC发布通报（JPCERT-AT-2026-0019），称已确认泄露数据包含与日本企业相关的信息。2026年10月6日
FBI和美国特勤局发布联合公告（JCSA-20261006-01）：此类活动仍在持续，部分管理员已被锁定在设备之外，且此类访问已被用作勒索软件的入口。
- 类型
- 泄露的凭证以及使用这些凭证的登录行为。没有新的CVE（Fortinet表示这不是新漏洞）
- 目标
- 暴露在互联网上的FortiGate防火墙和SSL VPN网关
- 规模
- CISA：约74,000台设备。FBI和JPCERT/CC引用了一家私营安全公司的统计：194个国家超过86,644台设备
- Fortinet的观点
- 不是新漏洞。重复使用既往事件中的凭证（Fortinet公告FG-IR-26-060和FG-IR-25-647）加上暴力破解
- FBI的描述
- 使用泄露凭证和信息窃取恶意软件日志进行的登录、对从设备中获取的密码哈希进行离线破解，以及为保持访问权限而新建的管理员账户
- 日本
- JPCERT/CC已确认泄露数据包含与日本企业相关的信息
Fortinet将以下两份公告列为既往事件，它们涉及FortiCloud单点登录的身份验证绕过漏洞（FG-IR-25-647：CVE-2025-59718和CVE-2025-59719；FG-IR-26-060：CVE-2026-24858）。两者均已知被利用。Fortinet要求客户确认已完成这些公告中的修复步骤。对于FortiOS，FG-IR-26-060已在7.6.6、7.4.11、7.2.13和7.0.19中修复。
为什么升级无法解决问题
这是本站最想强调的一点。修复漏洞通常意味着安装修复版本，但此次泄露的是密码本身。如果在旧漏洞仍然存在时配置文件或凭证已被窃取，这些密码在您升级后仍然有效。
JPCERT/CC解释说，FortiGate配置文件包含管理员密码的哈希值（经过转换、无法直接还原的值），因此如果配置文件被窃取，攻击者无需访问设备即可离线破解密码。FBI同样表示，重复使用的凭证和旧版SHA-256存储方式，使攻击者能够大规模收集并破解身份验证数据。
远远不够
- 固件已升级，但密码未更改
- 密码已更改，但旧版副本仍然保留
- 未启用MFA，且管理界面对互联网开放
- FortiGate已修复，但未检查所连接的Active Directory
应做到这些
- 更改所有管理员、VPN和集成账户的密码
- 删除旧版副本，只保留PBKDF2
- 启用MFA并关闭管理界面
- 检查账户、API密钥和日志
1. 凭证泄露
既往事件、重复使用、暴力破解
2. 登录管理员或VPN
阻断方法：MFA，关闭管理界面
3. 在内部扩散
阻断方法：检查账户和日志，审查AD集成
删除旧版密码副本（只保留PBKDF2）
根据Fortinet的技术指南，PBKDF2从7.2.11、7.4.8和7.6.1起可用。更早的版本使用SHA-256存储。升级后，每个管理员的密码在其登录一次之前仍以SHA-256形式保存。
此外，即使更改了密码，之前的SHA-256哈希仍会以隐藏字段（old-password）的形式保留在配置中，以实现向后兼容。登录并不会将其删除。要删除它，应在所有管理员都已在新版本上登录后（未登录的管理员则已更改密码），启用Fortinet指南中的设置（7.6及更高版本为login-lockout-upon-weaker-encryption，7.2和7.4为login-lockout-upon-downgrade）。
启用前请先检查
Fortinet的指南指出，启用此设置后，降级到不支持PBKDF2的版本会导致管理员被锁定在设备之外。请仅在所有管理员都已登录或已更改密码，且您不计划降级时启用。
有关密码存储方式的区别，请参阅什么是密码哈希？。
如果您被锁定在设备之外，或怀疑已被入侵
FBI描述了一些案例：攻击者新建管理员账户，然后删除原有管理员账户或更改其密码，使所有者无法登录。仅重置密码无法从这种情况中恢复。
如怀疑已被入侵，FBI建议各组织在采取行动前先隔离设备，并收集日志、配置及其他记录。Fortinet表示应将设备视为已被攻陷，并遵循其恢复指南。新加坡CSA建议，如怀疑存在持久化驻留，应先收集记录，再考虑恢复出厂设置，因为恢复出厂设置会销毁这些记录。
有关此类事件演变为勒索软件的情况，请参阅什么是勒索软件。有关防护VPN设备的一般方法，请参阅如何防护VPN设备和远程访问。
仍未明确的事项
| 事项 | 状态 |
|---|---|
| 是否为新漏洞 | 不是新漏洞（Fortinet） |
| 攻击是否仍在持续 | 仍在持续（FBI和美国特勤局，10月6日） |
| 凭证最初是如何获得的 | Fortinet将其归因于重复使用既往事件中的凭证以及暴力破解；尚未完全确定 |
| 泄露的数据是否仍可使用 | JPCERT/CC表示，一些研究人员指出其中可能包含仍然有效的凭证，不应仅将其视为重新流传的旧数据 |
| 日本受影响的组织 | 已确认包含在内（JPCERT/CC）；数量和名称未公布 |
| 由此引发的事件数量（勒索软件及其他） | 未公布 |
公共机构和Fortinet均未点名受影响的组织。本站不对具体组织进行推测。
来源
- Fortinet PSIRT，《Analysis of Reported Credential Compromise of FortiGate Devices》（2026年6月19日）— fortinet.com
- Fortinet，《Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later》— community.fortinet.com
- Fortinet，《FG-IR-26-060》（CVE-2026-24858）— fortiguard.com /《FG-IR-25-647》（CVE-2025-59718、CVE-2025-59719）— fortiguard.com
- CISA，《CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure》（2026年6月18日，6月22日修订）— cisa.gov
- JPCERT/CC，关于Fortinet产品相关泄露凭证的通报（JPCERT-AT-2026-0019，2026年6月23日，日文）— jpcert.or.jp
- 新加坡CSA，《Advisory on Credential Compromise of FortiGate Devices ("FortiBleed")》（AD-2026-007，2026年6月22日）— csa.gov.sg
- FBI和美国特勤局，《FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts》（JCSA-20261006-01，2026年10月6日）— ic3.gov
更新日志
2026-10-26：首次发布，基于Fortinet、CISA、JPCERT/CC、新加坡CSA、FBI和美国特勤局的公开发布内容。
延伸阅读
- 防护暴露的设备：如何防护VPN设备和远程访问
- 同期被利用的边缘设备漏洞：2026年10月中旬被利用的边缘设备漏洞
- 趋势：2026年的入侵更多依赖有效凭证而非漏洞
- MFA：正确选择MFA
- 术语：什么是密码哈希？ / 什么是勒索软件