Hvad er FortiBleed?
FortiBleed er navnet på en omfattende kampagne mod Fortinet FortiGate-firewalls og SSL VPN-gateways, som sikkerhedsforskere afslørede midt i juni 2026.
Det afgørende er, at FortiBleed ikke er én enkelt sårbarhed, man kan patche væk. Det er en vedvarende kampagne, hvor angribere systematisk har samlet og verificeret fungerende logins til enhederne.
Forskere fandt en server hos angriberne med en database over verificerede credentials til over 86.000 FortiGate-enheder i 194 lande. Anslået halvdelen af alle internet-tilgængelige Fortinet-firewalls. Tallene varierer mellem kilderne fra omkring 30.000 til 86.000, men størrelsesordenen er den samme. Det er en af de største Fortinet-relaterede hændelser til dato.
Tre kendte teknikker sat sammen
Det bygger ikke på en bekræftet zero-day. Angriberne kombinerer i stedet flere velkendte teknikker.
- Genbrug af lækkede adgangskoder fra tidligere Fortinet-brud og fra infostealer-malware, der har høstet logins fra inficerede maskiner.
- Afprøvning i stor skala af de adgangskoder mod eksponerede FortiGate-enheder, særligt hos organisationer der aldrig skiftede kode efter tidligere hændelser.
- Offline knækning af opfangede VPN-hashes med kraftige GPU-klynger.
Resultatet er en selvforstærkende maskine. Hver gang nye credentials bliver verificeret, ryger de tilbage i systemet og bruges til at kompromittere endnu flere enheder.
Forholdet til CVE-2026-24858
Delvist. Den mest omtalte relaterede sårbarhed er CVE-2026-24858, en FortiCloud SSO-autentificeringsbypass med en CVSS-score op til 9,8, som Fortinet offentliggjorde i januar 2026, og som blev tilføjet CISA’s katalog over kendte udnyttede sårbarheder. På enheder med FortiCloud Single Sign-On slået til kunne en angriber logge ind uden gyldige credentials, oprette lokale admin-konti og hente konfigurationsfiler ud.
Den præcise kilde til hele datasættet er ikke bekræftet. Pointen er praktisk. Vent ikke på, at en konkret zero-day bliver bekræftet, før I handler. En FortiGate med åbent management- eller VPN-interface og gamle credentials er i sig selv grund nok.
Sådan vurderer I, om I er berørt
Behandl jeres enhed som potentielt berørt, hvis I har:
- En FortiGate-firewall eller SSL VPN-gateway, der er tilgængelig fra internettet.
- Et management-interface eller en VPN-portal, der kan ses udefra.
- Adgangskoder, der ikke er skiftet efter tidligere Fortinet-hændelser.
- En FortiOS-version, der er opgraderet fra en ældre udgave, uden at administratorerne har logget ind igen siden.
Eksponeringen handler mere om, hvorvidt enheden er synlig på internettet, og om adgangskodehygiejnen, end om ét bestemt versionsnummer.
Seks ting at gøre nu
- Luk for ekstern adgang til management-interfacet. Admin-login bør aldrig være eksponeret mod hele internettet. Begræns det til betroede interne IP-adresser eller et separat management-netværk.
- Aktivér MFA på alle administrative konti og al fjernadgang. Det er den enkeltforanstaltning, der beskytter bedst, når adgangskoder kan være kompromitteret.
- Skift alle administrative adgangskoder og VPN-credentials, især hvis de aldrig er roteret efter tidligere Fortinet-sager.
- Gennemgå logs for tegn på uautoriseret adgang. Nye lokale admin-konti, uventede konfigurationsændringer, login fra ukendte lokationer.
- Opgradér FortiOS til en version med stærkere password-hashing, altså 7.2.11, 7.4.8 eller 7.6.1 og nyere. Sørg for, at hver administrator logger ind igen, så de gamle svage hashes bliver udskiftet.
- Overvej SSL VPN-portalen. Lad den kun være offentligt tilgængelig, hvis der er et klart forretningsmæssigt behov.
Den vigtigste læring
FortiBleed er en påmindelse om, at perimeter-sikkerhed kun er så stærk som de adgangskoder, der beskytter den.
To ting går igen i næsten alle de ramte organisationer. Et eksponeret interface mod internettet, og credentials der aldrig blev skiftet efter tidligere brud. Begge dele kan lukkes ned, og bør lukkes ned, uanset om netop jeres enhed står på listen.
Skal nogen tage gennemgangen for jer, har vi samlet den under ramt af FortiBleed.