FortiBleed wciąż groźny: FBI ostrzega

FortiBleed nadal stanowi realne zagrożenie

Amerykańskie służby ostrzegają, że FortiBleed nie jest jednorazowym incydentem, lecz wciąż aktywną kampanią wymierzoną w urządzenia Fortinet — przede wszystkim firewalle i bramy VPN. Skutki mogą być poważne: od utraty dostępu do kont administracyjnych po wejście do sieci, które kończy się atakiem ransomware.

Według najnowszego alertu, opublikowanego przez FBI i Secret Service, atakujący po uzyskaniu dostępu potrafią:

• wyłączać konta administratorów,
• zmieniać hasła,
• blokować prawowitych użytkowników,
• zakładać nowe konta administracyjne,
• przygotowywać teren pod dalszą eskalację ataku.

Co wiadomo o skali kampanii

FortiBleed został ujawniony latem 2026 roku, ale — jak wynika z dalszych analiz — kampania jest znacznie szersza, niż początkowo zakładano. W pierwszych ustaleniach potwierdzono ponad 86 644 skompromitowanych urządzeń w 194 krajach. Późniejsze śledztwo wskazywało już, że liczba zaatakowanych lub namierzanych firewalli mogła przekraczać 400–450 tysięcy.

To pokazuje, że problem nie dotyczy pojedynczych wdrożeń, ale całej fali ataków na urządzenia brzegowe, które często pełnią krytyczną rolę w infrastrukturze firm i instytucji.

Dlaczego zwykły reset hasła nie wystarczy

Najbardziej niepokojące jest to, że w przypadku FortiBleed klasyczne działania naprawcze mogą okazać się niewystarczające. Jeśli napastnik zdąży zmienić konfigurację lub utworzyć własne konta, samo zresetowanie hasła nie przywróci pełnej kontroli nad środowiskiem.

Służby podkreślają, że w takich sytuacjach potrzebne są działania wykraczające poza standardowe łatanie systemów i reset poświadczeń.

Droga do ransomware

Alert wskazuje też, że FortiBleed bywa wykorzystywany przez pośredników dostępu, którzy sprzedają wejście do przejętych sieci grupom ransomware. Wśród wymienianych nazw pojawiają się INC/Lynx oraz Payload.

To ważny sygnał: kampania nie służy wyłącznie do przejmowania pojedynczych urządzeń. Może być pierwszym etapem większego łańcucha ataku, w którym przejęcie firewalla lub VPN-u staje się wejściem do całej organizacji.

Co zalecają służby i eksperci

W zaleceniach dla użytkowników Fortinet pojawiają się przede wszystkim kroki ograniczające możliwość zdalnego zarządzania z internetu oraz wzmacniające kontrolę dostępu. W praktyce chodzi o:

• ograniczenie lub całkowite wyłączenie administracji zewnętrznej,
• zmianę i rotację poświadczeń,
• włączenie uwierzytelniania wieloskładnikowego,
• sprawdzenie użytkowników firewalli i VPN-ów pod kątem nieautoryzowanych zmian,
• analizę logów pod kątem ruchu bocznego w sieci,
• stosowanie bezpiecznego przechowywania poświadczeń.

Służby proszą też o przekazywanie wskaźników kompromitacji, w tym adresów IP oraz nazw użytkowników wykorzystywanych przez napastników.

Dlaczego ten alert jest ważny

FortiBleed pokazuje, jak bardzo urządzenia brzegowe stały się atrakcyjnym celem dla cyberprzestępców. Gdy firewall lub VPN zostanie przejęty, atakujący zyskuje punkt wejścia do całej infrastruktury, często zanim systemy obronne zdążą zareagować.

To kolejny sygnał, że organizacje powinny traktować sprzęt sieciowy z taką samą uwagą jak serwery i stacje robocze. W praktyce oznacza to nie tylko szybkie aktualizacje, ale też regularne audyty konfiguracji i dostępów.