O que é o FortiBleed?
O FortiBleed é uma campanha automatizada de comprometimento de credenciais direcionada a firewalls FortiGate e gateways SSL VPN expostos à internet.
Até o momento, pesquisadores afirmam ter identificado:
- mais de 86 mil credenciais válidas;
- aproximadamente 80 mil endereços IP únicos;
- organizações localizadas em 194 países.
O nome FortiBleed foi cunhado por pesquisadores da SOCRadar em junho de 2026, após a descoberta de um servidor mal configurado utilizado pelos atacantes. O ambiente exposto continha ferramentas de automação, registros das operações e listas de credenciais que já haviam sido testadas e validadas.
Diferentemente de ataques baseados exclusivamente em falhas técnicas, o FortiBleed utiliza principalmente credenciais obtidas em vazamentos históricos e em bases de dados produzidas por infostealers — malwares projetados para capturar senhas, cookies, sessões e outras informações diretamente dos dispositivos das vítimas.
Existe algum CVE associado ao FortiBleed?
Não existe um único CVE que defina ou represente toda a campanha FortiBleed.
O ataque não depende exclusivamente de uma vulnerabilidade zero-day. A principal estratégia consiste em testar credenciais já comprometidas contra equipamentos Fortinet expostos à internet.
Entretanto, algumas vulnerabilidades da Fortinet foram identificadas ou exploradas no mesmo período, entre elas:
- CVE-2025-59718 — bypass de autenticação SSO;
- CVE-2025-59719 — bypass de autenticação SSO;
- CVE-2026-24858 — bypass de autenticação relacionado ao FortiCloud SSO.
Essas vulnerabilidades possuem mecanismos próprios de correção. A campanha FortiBleed, porém, pode continuar funcionando mesmo em equipamentos atualizados, caso os atacantes possuam credenciais válidas.
Em outras palavras: aplicar o patch é necessário, mas pode não ser suficiente.
Quais versões e dispositivos estão expostos?
A campanha está direcionada principalmente a:
- firewalls FortiGate executando FortiOS;
- concentradores e gateways SSL VPN;
- interfaces administrativas expostas diretamente à internet;
- ambientes que ainda utilizam credenciais antigas ou reutilizadas.
A Fortinet introduziu mecanismos de hashing de senha baseados em PBKDF2 a partir das seguintes versões:
- FortiOS 7.2.11;
- FortiOS 7.4.8;
- FortiOS 7.6.1.
Entretanto, apenas atualizar o firmware pode não migrar automaticamente todas as credenciais para o novo formato.
Em alguns casos, contas cujos administradores não realizaram novo login após a atualização continuaram utilizando o formato legado baseado em SHA-256 com salt.
Os atacantes também utilizaram infraestrutura especializada para processamento de hashes, incluindo um cluster de aproximadamente 45 GPUs gerenciado por meio do Hashtopolis.
Ainda assim, senhas longas e complexas não necessariamente foram quebradas por força bruta. Muitas já estavam disponíveis em texto simples em bases de infostealers.
Por que o FortiBleed está sendo explorado agora?
O sucesso da campanha resulta da combinação de três fatores principais.
1. Grande quantidade de credenciais disponíveis
Anos de vazamentos, infostealers e mercados clandestinos produziram enormes bases de usuários e senhas.
Essas credenciais são organizadas, validadas e testadas automaticamente contra serviços expostos à internet.
2. Falta de rotação de credenciais
Muitas organizações continuam utilizando:
- senhas antigas;
- credenciais reutilizadas;
- contas administrativas sem MFA;
- contas de serviço esquecidas;
- senhas que já apareceram em vazamentos.
Uma senha complexa não é segura quando já foi capturada pelo atacante.
3. Ciclo contínuo de comprometimento
A campanha possui uma característica autoalimentada.
O ciclo funciona da seguinte forma:
- Os atacantes escaneiam a internet em busca de equipamentos Fortinet.
- Testam automaticamente credenciais comprometidas.
- Ao obter acesso, instalam ferramentas de coleta ou sniffers passivos.
- O firewall comprometido passa a observar o tráfego da rede.
- Novas credenciais são capturadas.
- As credenciais coletadas alimentam a base utilizada em novos ataques.
Quanto mais dispositivos são comprometidos, maior se torna a quantidade de credenciais disponíveis para comprometer outros ambientes.
Impacto no Brasil
O Brasil aparece entre os países mais afetados pela campanha, ocupando aproximadamente a 11ª posição no levantamento citado, com cerca de 1.737 dispositivos identificados.
Também foram mencionadas organizações de grande porte em diferentes países, incluindo empresas dos setores de tecnologia, indústria, telecomunicações e consultoria.
O tamanho da organização, portanto, não elimina o risco. O principal fator continua sendo a exposição do equipamento e a qualidade dos controles de acesso.
O que sua empresa deve fazer agora
1. Rotacione todas as credenciais
Redefina imediatamente:
- senhas de VPN;
- contas administrativas;
- contas de serviço;
- credenciais utilizadas em integrações;
- usuários locais do FortiGate.
A complexidade da senha não elimina o risco quando ela já foi roubada ou registrada por um infostealer.
Não rotacione apenas uma conta suspeita. Em caso de indício de comprometimento, trate todo o conjunto de credenciais relacionadas como potencialmente exposto.
2. Habilite MFA nos acessos externos
Implemente autenticação multifator em:
- SSL VPN;
- contas administrativas;
- acessos remotos;
- portais externos;
- serviços de gerenciamento.
O MFA reduz significativamente a possibilidade de utilização de uma senha roubada de forma isolada.
Ambientes Fortinet expostos à internet sem MFA devem ser tratados como risco prioritário.
3. Restrinja a interface de gerenciamento
A interface administrativa do FortiGate não deve permanecer acessível diretamente por qualquer endereço da internet.
Adote controles como:
- restrição por endereços IP confiáveis;
- VPN administrativa;
- bastion host;
- local-in policies;
- segmentação da rede de gerenciamento.
Caso o FortiCloud SSO não seja necessário para a operação, avalie sua desativação.
4. Analise os logs de acesso
Procure por sinais como:
- logins em horários incomuns;
- acessos originados de países inesperados;
- tentativas repetidas de autenticação;
- alterações de configuração não reconhecidas;
- criação recente de contas administrativas;
- acessos realizados por usuários inativos;
- mudanças nas políticas de VPN ou firewall.
Também devem ser investigadas contas com nomes incomuns ou genéricos, como:
support;ssl-admin;helpdesk;backup-admin;system-admin.
Caso exista qualquer evidência relevante, assuma um possível comprometimento e inicie o processo formal de resposta a incidentes.
5. Atualize o FortiOS
Instale uma versão atualmente suportada e corrigida do FortiOS.
Após a atualização:
- revise todas as contas locais;
- force a redefinição das senhas;
- realize novo login nas contas administrativas;
- valide se as credenciais foram migradas para o mecanismo mais recente de hashing;
- confirme que serviços desnecessários não permanecem expostos.
A atualização do firmware deve ser acompanhada pela revisão das credenciais e da configuração do equipamento.
6. Preserve os logs por tempo suficiente
Muitas investigações são prejudicadas porque os registros são apagados antes da identificação do incidente.
Como referência operacional:
- 14 dias devem ser tratados apenas como retenção mínima;
- 60 a 90 dias oferecem uma base mais adequada para investigação;
- ambientes críticos podem exigir períodos ainda maiores.
Sempre que possível, os logs devem ser enviados para uma plataforma externa, como SIEM ou servidor centralizado, evitando que o invasor apague as evidências diretamente no firewall.
Conclusão
O FortiBleed não deve ser tratado apenas como uma vulnerabilidade de software que será resolvida com a aplicação de um patch.
Trata-se de uma campanha baseada em:
- credenciais previamente roubadas;
- automação em larga escala;
- equipamentos expostos;
- ausência de MFA;
- falta de rotação de senhas;
- baixa retenção e monitoramento de logs.
A resposta adequada exige atualização do FortiOS, mas também exige mudanças operacionais permanentes na proteção dos acessos administrativos e da infraestrutura perimetral.
Patch corrige vulnerabilidades. Não corrige credenciais já comprometidas.