適用對象：自行營運或委由承包商管理 FortiGate（Fortinet 的防火牆與 VPN 設備）的任何人。本頁依據 Fortinet、CISA、JPCERT/CC、新加坡 CSA、FBI 與美國特勤局的公開資訊撰寫。本頁不說明攻擊手法，也不列出攻擊者的 IP 位址。
続報待ち：この記事は公式発表に合わせて更新します
截至 2026 年 10 月 26 日（日本標準時間）まだ分かっていないこと
- 憑證最初如何取得（Fortinet 歸因於重複使用先前事件的憑證與暴力破解）
- 日本有多少組織受影響，以及是哪些組織
- Fortinet 直接聯絡客戶的進展
CISA 於 6 月 18 日發布公告，Fortinet 於 6 月 19 日發布，JPCERT/CC 於 6 月 23 日發布。10 月 6 日，FBI 與美國特勤局警告攻擊仍在持續。有新資訊公布時，我們將更新本頁。
今天該做什麼
結束管理員與 VPN 連線，然後更換密碼
終止所有使用中的管理與 SSL VPN 連線。接著更換所有管理員與 VPN 密碼，特別是暴露於網際網路的設備（Fortinet、CISA、FBI）。若同一組密碼也用於其他服務，請一併更換（本站建議）。
強制啟用多因素驗證
在每個管理員與 VPN 帳號上啟用多因素驗證。CISA 與 FBI 要求使用抗網路釣魚的方法（通行金鑰與硬體安全金鑰符合條件）。選擇方式請參閱 如何正確選擇 MFA。
將管理介面移出網際網路
FBI 列出三個等級：限制只有受信任的主機可以存取（良好）、以本機 local-in 政策限制（較佳），或完全移除網際網路管理功能（最佳）。目標應為最佳等級。
升級韌體並只保留 PBKDF2
Fortinet 建議使用 7.4、7.6 或 8.0 的最新版本。PBKDF2（一種難以快速破解的密碼儲存方式）從 7.2.11、7.4.8 與 7.6.1 起可用。密碼變更後，設定中仍會保留舊版 SHA-256 副本，因此請依據 Fortinet 的技術指引將其移除。下方章節說明做法。
檢查設定與帳號
將目前設定與已知正常的副本比對，並檢查是否有不明的管理員帳號、VPN 使用者與變更。Fortinet 要求您留意名稱模仿其支援人員的帳號（例如 forticloud）。FBI 也要求您檢視 REST API 金鑰，並移除任何不認得的金鑰。
檢視日誌
檢查管理員登入、設定匯出與 VPN 登入來源。若 FortiGate 與 Active Directory 或 LDAP 連線，應將整合帳號視為已遭入侵，並一併檢視網域控制站日誌（Fortinet、JPCERT/CC）。若發現任何異常，請隔離設備、保存紀錄，並聯絡 Fortinet 支援或您所在國家的 CERT。
您是否受影響？快速檢查
| 情況 | 本站評估 |
|---|---|
| FortiGate 管理介面或 SSL VPN 可從網際網路連線 | 假設您已受影響，並執行上述所有步驟 |
| 韌體已是修補後的版本 | 仍需更換密碼（憑證已外洩） |
| 執行的版本早於 7.2.11、7.4.8 或 7.6.1 | 無法使用 PBKDF2；請規劃升級至 7.4 或更新版本 |
| 查詢工具未找到您 | 不要因此放心（承包商註冊的資料可能不會顯示在您的網域下） |
| 由承包商管理設備 | 與承包商確認密碼已更換、已啟用 MFA，且已檢視日誌 |
| 與其他公司有站對站 VPN | 考慮對方若遭入侵的影響（JPCERT/CC） |
事件經過（依公部門與 Fortinet 資訊）
2026 年 6 月 18 日
CISA 敦促組織加強 Fortinet 設備的安全性，並引用全球報告指出，與約 74,000 台 Fortinet 設備（防火牆與 VPN 閘道）相關的憑證已外洩。6 月 22 日，CISA 新增了 Fortinet 指引的連結。2026 年 6 月 19 日
Fortinet 發布其分析。表示這並非新漏洞，活動可能涉及重複使用先前事件的憑證，以及對採用弱密碼且未啟用 MFA 之裝置進行暴力破解。並表示正在聯絡可能受影響的客戶。2026 年 6 月 22 日
新加坡網路安全局（CSA）警告，超過 70,000 台 FortiGate 設備的憑證已外洩。2026 年 6 月 23 日
JPCERT/CC 發布通報（JPCERT-AT-2026-0019），表示已確認外洩資料包含與日本企業相關的資訊。2026 年 10 月 6 日
FBI 與美國特勤局發布聯合公告（JCSA-20261006-01）：活動仍在持續，部分管理員已被鎖在設備之外，且此入侵途徑已被用作勒索軟體的切入點。
- 類型
- 外洩的憑證，以及使用這些憑證的登入。無新 CVE（Fortinet 表示這不是新漏洞）
- 目標
- 暴露於網際網路的 FortiGate 防火牆與 SSL VPN 閘道
- 規模
- CISA：約 74,000 台設備。FBI 與 JPCERT/CC 引用一家民間資安公司的統計，為 194 個國家中超過 86,644 台設備
- Fortinet 的看法
- 並非新漏洞。重複使用先前事件的憑證（Fortinet 公告 FG-IR-26-060 與 FG-IR-25-647）加上暴力破解
- FBI 的描述
- 使用外洩憑證與資訊竊取程式日誌的登入、對從設備取得的密碼雜湊進行離線破解，以及為維持存取權而建立的新管理員帳號
- 日本
- JPCERT/CC 已確認外洩資料包含與日本企業相關的資訊
Fortinet 將兩份公告列為先前事件，這兩份公告涵蓋 FortiCloud 單一登入的驗證繞過漏洞（FG-IR-25-647：CVE-2025-59718 與 CVE-2025-59719；FG-IR-26-060：CVE-2026-24858）。兩者皆已知遭到利用。Fortinet 要求客戶確認已完成這些公告中的修補步驟。對於 FortiOS，FG-IR-26-060 已在 7.6.6、7.4.11、7.2.13 與 7.0.19 中修補。
為什麼升級無法結束問題
這是本站最想強調的重點。修補漏洞通常只需安裝修補後的版本，但這次外洩的是密碼本身。若在舊版漏洞尚未修補時，設定檔或憑證已被竊取，這些密碼即使在您升級後仍可使用。
JPCERT/CC 說明，FortiGate 設定檔包含管理員密碼的雜湊值（經轉換、無法直接還原的值），因此若設定檔被竊取，攻擊者即使無法存取設備，仍可離線破解密碼。FBI 同樣表示，重複使用的憑證與舊版 SHA-256 儲存方式，讓攻擊者能大規模收集並破解驗證資料。
不夠
- 已升級韌體，但密碼未更換
- 已更換密碼，但舊版副本仍然存在
- 未啟用 MFA，且管理介面開放於網際網路
- FortiGate 已修補，但未檢查所連接的 Active Directory
應做到這些
- 更換所有管理員、VPN 與整合帳號的密碼
- 移除舊版副本，只保留 PBKDF2
- 啟用 MFA 並關閉管理介面
- 檢查帳號、API 金鑰與日誌
1. 憑證外洩
先前事件、重複使用、暴力破解
2. 登入管理員或 VPN
阻斷方式：MFA、關閉管理介面
3. 在內部擴散
阻斷方式：檢查帳號與日誌、檢視 AD 整合
移除舊版密碼副本（只保留 PBKDF2）
根據 Fortinet 的技術指引，PBKDF2 從 7.2.11、7.4.8 與 7.6.1 起可用。較早的版本使用 SHA-256 儲存。升級後，每位管理員的密碼會維持 SHA-256 格式，直到該管理員登入一次為止。
此外，即使密碼已變更，先前的 SHA-256 雜湊仍會因向下相容而保留在設定中的隱藏欄位（old-password）中。登入並不會移除它。若要移除，請在所有管理員都已於新版本登入後（並且尚未登入的管理員密碼已更換），啟用 Fortinet 指引中的設定（7.6 及之後版本為 login-lockout-upon-weaker-encryption，7.2 與 7.4 為 login-lockout-upon-downgrade）。
啟用前請先確認
Fortinet 的指引表示，啟用此設定後，若降級至不支援 PBKDF2 的版本，管理員將被鎖在設備之外。請僅在所有管理員都已登入或已更換密碼，且您沒有降級計畫時才啟用。
關於各種密碼儲存方式的差異，請參閱 什麼是密碼雜湊？。
若您被鎖在設備之外或懷疑已遭入侵
FBI 描述了攻擊者建立新管理員帳號，接著刪除原有管理員帳號或變更其密碼，使原擁有者無法登入的案例。光是重設密碼無法從這種情況中復原。
若懷疑遭入侵，FBI 要求組織在採取行動前先隔離設備，並收集日誌、設定與其他紀錄。Fortinet 表示應將設備視為已遭入侵，並依其復原指引處理。新加坡 CSA 建議，若懷疑有持續性存取，可在先收集紀錄後考慮恢復原廠設定，因為重設會銷毀這些紀錄。
關於演變為勒索軟體時會發生什麼，請參閱 什麼是勒索軟體。關於如何防禦 VPN 設備的一般做法，請參閱 如何防禦 VPN 設備與遠端存取。
仍不明確的事項
| 項目 | 狀態 |
|---|---|
| 是否為新漏洞 | 不是新漏洞（Fortinet） |
| 攻擊是否仍在持續 | 持續中（FBI 與美國特勤局，10 月 6 日） |
| 憑證最初如何取得 | Fortinet 歸因於重複使用先前事件的憑證與暴力破解；尚未完全確定 |
| 外洩資料是否仍可使用 | JPCERT/CC 表示，部分研究人員指出其中可能包含仍有效的憑證，不應僅視為重新流通的舊資料 |
| 日本受影響的組織 | 已確認包含在內（JPCERT/CC）；數量與名稱未公開 |
| 造成的事件數量（勒索軟體及其他） | 未公開 |
公部門與 Fortinet 均未點名受影響的組織。本站不推測特定組織。
資料來源
- Fortinet PSIRT，〈Analysis of Reported Credential Compromise of FortiGate Devices〉（2026 年 6 月 19 日）— fortinet.com
- Fortinet，〈Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later〉— community.fortinet.com
- Fortinet，〈FG-IR-26-060〉（CVE-2026-24858）— fortiguard.com ／〈FG-IR-25-647〉（CVE-2025-59718、CVE-2025-59719）— fortiguard.com
- CISA，〈CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure〉（2026 年 6 月 18 日，6 月 22 日修訂）— cisa.gov
- JPCERT/CC，關於與 Fortinet 產品相關之外洩憑證的通報（JPCERT-AT-2026-0019，2026 年 6 月 23 日，日文）— jpcert.or.jp
- 新加坡 CSA，〈Advisory on Credential Compromise of FortiGate Devices ("FortiBleed")〉（AD-2026-007，2026 年 6 月 22 日）— csa.gov.sg
- FBI 與美國特勤局，〈FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts〉（JCSA-20261006-01，2026 年 10 月 6 日）— ic3.gov
更新紀錄
2026-10-26：首版，依據 Fortinet、CISA、JPCERT/CC、新加坡 CSA、FBI 與美國特勤局的公開資訊撰寫。
延伸閱讀
- 防禦暴露的設備：如何防禦 VPN 設備與遠端存取
- 同時期遭利用的邊緣設備漏洞：2026 年 10 月中旬遭利用的邊緣設備漏洞
- 趨勢：2026 年的入侵事件更多依賴有效憑證，而非漏洞
- MFA：如何正確選擇 MFA
- 名詞解釋：什麼是密碼雜湊？ ／ 什麼是勒索軟體