FortiBleed: campanha expõe credenciais de dezenas de milhares de FortiGate

Uma campanha de segurança batizada de FortiBleed está expondo credenciais de administrador de firewalls e gateways VPN FortiGate em escala global. Segundo alertas publicados pela CISA (agência de cibersegurança dos Estados Unidos) e pela empresa de inteligência de ameaças Bitsight, entre 30 mil e 75 mil dispositivos Fortinet em 194 países tiveram credenciais válidas expostas.

O que é o FortiBleed

Diferente do que o nome sugere, o FortiBleed não é uma única vulnerabilidade nova (CVE) isolada. Trata-se de uma campanha em que agentes de ameaça extraem sistematicamente arquivos de configuração de dispositivos FortiGate expostos diretamente à internet e quebram os hashes de credenciais armazenados nesses arquivos — obtendo, na prática, usuário e senha de administrador funcionais.

De acordo com reportagens do The Hacker News, a campanha provavelmente reaproveita credenciais vazadas em incidentes anteriores, incluindo as vulnerabilidades CVE-2026-24858, CVE-2025-59718 e CVE-2025-59719, combinadas com força bruta contra dispositivos que usam senhas fracas e não têm autenticação multifator (MFA) habilitada.

Por que isso importa

Um FortiGate comprometido no nível de administrador não é só um firewall fora do ar — é uma porta de entrada para toda a rede interna que ele protege. Com acesso administrativo, um invasor pode alterar regras de firewall, interceptar tráfego de VPN, criar contas de acesso persistentes e usar o dispositivo como ponto de pivô para o restante da infraestrutura.

Recomendações da CISA

• Encerrar todas as sessões ativas em dispositivos FortiGate expostos à internet;
• Redefinir todas as senhas administrativas e de VPN, não apenas trocar a senha do usuário suspeito;
• Habilitar autenticação multifator (MFA) para acesso administrativo e VPN;
• Restringir a interface de administração para não ficar acessível diretamente pela internet pública;
• Manter o FortiOS atualizado com os patches mais recentes da Fortinet.

Como isso se conecta com o nosso guia técnico

Já cobrimos em detalhe as vulnerabilidades por trás desse tipo de campanha na nossa análise técnica sobre como blindar um FortiGate contra CVEs recentes. Se você administra um ou mais dispositivos FortiGate, também vale revisar nosso catálogo de firewalls FortiGate por faixa de investimento para entender qual modelo está exposto a qual nível de risco conforme o porte da sua operação.

Perguntas frequentes

Só quem usa FortiGate 60F ou 100F está em risco?
Não. A campanha afeta a linha FortiGate de forma geral, especialmente dispositivos com a interface de administração exposta à internet, independentemente do modelo.

Trocar a senha resolve o problema?
Só parcialmente. É preciso encerrar as sessões ativas, redefinir todas as credenciais administrativas e de VPN, e habilitar MFA — trocar só a senha do usuário principal pode não ser suficiente se outras contas também foram comprometidas.

Como saber se meu FortiGate está exposto?
O primeiro passo é verificar se a interface de administração (GUI/SSH) está acessível diretamente pela internet pública, sem VPN ou lista de IPs permitidos. Se estiver, essa é a exposição mais crítica a corrigir primeiro.

Conclusão

O FortiBleed reforça uma lição recorrente em segurança de perímetro: mesmo o hardware mais robusto perde valor se a interface de administração fica exposta à internet sem MFA. Revisar a exposição do seu FortiGate hoje é mais barato do que lidar com um incidente depois.

Fontes: The Hacker News, CISA, Bitsight.