FortiBleed : des identifiants volés, pas une faille

Le 6 octobre 2026, le FBI et le U.S. Secret Service ont publié l'avis conjoint JCSA-20261006-01 sur FortiBleed, une campagne contre les pare-feu Fortinet FortiGate et leurs passerelles VPN SSL exposés à Internet. Ce qui distingue cette campagne : elle ne repose pas sur une faille du jour, mais sur des identifiants. Et certaines victimes se retrouvent verrouillées hors de leur propre équipement.

Ce que disent les avis

FBI et Secret Service (6 octobre). L'avis décrit FortiBleed comme « an active, global credential-compromise campaign targeting internet-facing Fortinet FortiGate firewalls and secure socket layer (SSL) virtual private network (VPN) gateways ». Il cite SOCRadar, qui a vérifié « more than 86,644 compromised devices across 194 countries ». La campagne « exploits reused or leaked credentials and legacy SHA-256 password storage, enabling threat actors to harvest and crack authentication data at scale ».

L'avis décrit la chaîne : balayage d'Internet à la recherche de portails VPN SSL, bourrage d'identifiants et pulvérisation de mots de passe à partir d'anciennes fuites et de journaux de logiciels voleurs d'informations, cassage des empreintes sur une grappe de processeurs graphiques, création de nouveaux comptes d'administration sur le pare-feu, puis énumération de l'Active Directory. Les accès validés sont ensuite revendus. L'avis note que la chaîne « has been observed as an initial entry point for ransomware affiliates ».

Le verrouillage. Selon le texte, les attaquants créent des comptes qui n'existaient pas et, dans certains cas, suppriment les comptes existants « to block organizations from accessing affected devices ». La remise en état exige alors « remediation steps beyond standard patching and password resets ».

Le Centre canadien pour la cybersécurité. Son alerte AL26-014 sur FortiBleed recommande d'inventorier tous les comptes des appareils Fortinet et de désactiver ou supprimer ceux qui sont inutiles ou suspects, de restreindre les interfaces de gestion aux réseaux et hôtes de confiance, de terminer toutes les sessions VPN SSL et d'administration, de réinitialiser les mots de passe, d'imposer la MFA et de mettre à jour le microprogramme.

Pourquoi ça compte

Une organisation qui a appliqué tous les correctifs Fortinet peut quand même être touchée. Le chemin d'entrée est un mot de passe connu de l'attaquant, venu d'une fuite ancienne ou d'un poste infecté. Le processus de gestion des vulnérabilités ne le voit pas : il n'y a rien à installer.

Le verrouillage change aussi la réponse. Quand l'attaquant a supprimé les comptes d'origine, l'équipe ne peut plus lire les journaux ni modifier la configuration de l'appareil qu'elle doit justement nettoyer. Il faut un accès de secours prévu à l'avance, hors bande.

L'échelle est le troisième point. L'avis décrit des identifiants volés triés et validés par des scripts, qui écartent les leurres et classent les cibles selon leur chiffre d'affaires et la structure de leur réseau, avant la revente des accès VPN fonctionnels. C'est une chaîne industrielle, pas un opportuniste, et un portail d'administration exposé n'est qu'une ligne de sa file d'attente.

Ce que nous en pensons chez Sentrix

1. Retirer l'administration d'Internet. C'est la mesure « best » de l'avis, et la seule qui supprime la surface plutôt que de la filtrer.
2. Faire l'inventaire des comptes de chaque pare-feu, comparé à une liste de référence tenue à jour. Un compte que personne ne reconnaît est un incident, pas une curiosité. Le module CTEM d'exposition continue tient cet inventaire, appareil par appareil.
3. Réinitialiser et terminer les sessions, puis imposer une MFA résistante à l'hameçonnage sur le VPN et l'administration.
4. Prévoir l'accès de secours avant d'en avoir besoin : compte local hors annuaire, console physique ou hors bande, procédure écrite.
5. Traiter un compte inconnu comme une intrusion, avec notre service de réponse aux incidents si nécessaire : l'avis relie la chaîne à des affiliés de rançongiciels.

Pour un MSP ou un MSSP, les mêmes identifiants d'administration servent souvent sur plusieurs pare-feu clients. Un mot de passe partagé, cassé une fois, ouvre tout le parc. Un compte par technicien et par client, avec MFA, est la seule configuration défendable.

La prochaine étape

Aujourd'hui, listez les comptes d'administration de chaque FortiGate que vous gérez et comparez-les à ceux que vous avez créés. Vérifiez ensuite que l'interface d'administration n'est pas joignable depuis Internet. Si vous voulez faire cette revue avec nous, contactez-nous.