CISA: סיסמאות של כ-74 אלף חומות אש FortiGate דלפו. Fortinet: אין חולשה חדשה
ב-18 ביוני 2026 הזהירה CISA מקמפיין FortiBleed: תוקפים נכנסים לחומות אש ולשערי VPN של Fortinet עם סיסמאות שדלפו. ב-19 ביוני Fortinet מסרה שאין כאן חולשה חדשה.
TL;DR בקצרה
- CISA פרסמה ב-18 ביוני אזהרה על סיסמאות שדלפו ושייכות לכ-74 אלף מכשירי Fortinet, בהם חומות אש ושערי VPN.
- לפי החוקר Volodymyr Diachenko, בשרת שמצא היו כתובות של 73,932 חומות אש, עם שם משתמש וסיסמה גלויה.
- Fortinet מסרה ב-19 ביוני שהתוקפים השתמשו בסיסמאות מאירועים קודמים ובכוח גס, ושאין כאן חולשה חדשה.
- ההמלצה של שתי החברות: לנתק חיבורים, להחליף סיסמאות, להפעיל MFA ולסגור את ממשק הניהול לאינטרנט.
CISA, הרשות האמריקאית להגנת סייבר, הזהירה ב-18 ביוני 2026 מקמפיין שמכוון ל-FortiGate. לפי האזהרה, תוקפים נכנסים לחומות אש ולשערי VPN של Fortinet עם סיסמאות שדלפו. הסיסמאות שייכות לכ-74 אלף מכשירים. הקמפיין קיבל את השם FortiBleed. ב-19 ביוני Fortinet הגיבה ואמרה שאין כאן חולשה חדשה.
מה נחשף בדליפת FortiBleed של סיסמאות FortiGate
החוקר Volodymyr Diachenko מצא שרת עם נתוני כניסה שנראים תקפים. לפי BleepingComputer, היו בו כתובות של 73,932 חומות אש. לכל כתובת היו שם משתמש, כתובת מייל וסיסמה בטקסט גלוי.
הרשימה כללה גם את ענף הפעילות של הארגון, את ההכנסות שלו ואת מספר העובדים. Diachenko סבור שמישהו אסף את הנתונים כדי לתכנן מתקפות. לפי Hudson Rock, הרשימה מכסה 21,632 דומיינים ב-194 מדינות.
לפי BleepingComputer, המדינות שנפגעו ביותר הן הודו, ארה״ב וטייוואן, ואחריהן מקסיקו וטורקיה. ישראל לא מופיעה ברשימת עשר המדינות המובילות. עם זאת, ארגון ישראלי שמפעיל FortiGate חשוף כמו כל ארגון אחר, ולכן כדאי לבדוק.
Diachenko טוען שקבוצה שמדברת רוסית ביצעה כ-1.16 מיליארד ניסיונות כניסה. היעדים היו מעל 320 אלף מכשירי FortiGate. לדבריו, המטרה הייתה ליירט גיבובים של סיסמאות SSL VPN. זו טענה של החוקר, ואין לה אישור עצמאי.
החוקר Kevin Beaumont אימת בנפרד שחלק מהסיסמאות אמיתיות. לדבריו הנתונים עדכניים, הם שייכים לכ-75 אלף מכשירים, וכמעט כולם עדיין פועלים ברשת. הוא מעריך שהמידע מגיע מקובצי ההגדרות של Fortinet.
מה Fortinet אומרת על הסיסמאות שדלפו
ב-19 ביוני פרסם צוות PSIRT של Fortinet ניתוח ראשוני. חברה חיצונית דיווחה על הקמפיין. לפי Fortinet, התוקפים השתמשו בסיסמאות מאירועים קודמים ובניסיונות כוח גס, כלומר ניחוש חוזר של סיסמאות. הם פגעו במכשירים עם סיסמאות חלשות ובלי אימות רב-שלבי (MFA).
Fortinet מדגישה שאין כאן חולשה חדשה, ושהפעילות לא קשורה לאירוע או לעדכון אבטחה אחרונים. היא מזכירה שתי הודעות אבטחה קודמות, FG-IR-26-060 ו-FG-IR-25-647, כמקור לסיסמאות. החברה כבר זיהתה מערכות חשודות, והיא יוצרת קשר עם לקוחות.
BleepingComputer כתב ב-19 ביוני שלא ברור איך הנתונים הושגו. אולי זו חולשה ישנה, אולי חולשה חדשה, ואולי שיטה אחרת. התמונה של Fortinet מתייחסת לסיסמאות בלבד, ולכן כדאי לא להסתפק בה.
איך מגנים על FortiGate לפי CISA ו-Fortinet
שתי החברות ממליצות על אותם צעדים בסיסיים. מנתקים את כל חיבורי ה-VPN והניהול, ואז מחליפים סיסמאות. בראש ובראשונה מטפלים במכשירים החשופים לאינטרנט.
CISA מבקשת גם לוודא שאלגוריתם PBKDF2 מגן על סיסמאות המנהלים, ולהסיר גיבובים ישנים וחלשים. Fortinet ממליצה לעדכן לגרסה האחרונה של 7.4, 7.6 או 8.0, שתומכות בו. בנוסף, יש לבדוק יומנים, לחפש חשבונות לא מוכרים ולהפעיל אימות עמיד לפישינג.
לגבי ממשק הניהול, Fortinet מדרגת שלוש רמות. הגבלה לכתובות מהימנות היא רמה סבירה. מדיניות local-in טובה מזה. הסרה מלאה של הניהול החיצוני היא הפתרון הטוב ביותר.
מה זה אומר עבורכם
- נתקו והחליפו: סיימו כל חיבור VPN וניהול פעיל, והחליפו סיסמאות. התחילו במכשירים שחשופים לאינטרנט.
- הפעילו MFA: דרשו אימות רב-שלבי לכל משתמשי ה-VPN ולכל המנהלים. CISA ממליצה על שיטה עמידה לפישינג.
- סגרו את הניהול: אל תשאירו את ממשק הניהול פתוח לרשת הציבורית. הסירו אותו, או הגבילו אותו לכתובות מהימנות.
- חפשו משתמשים זרים: בדקו אם נוצרו חשבונות שלא יצרתם. Fortinet נותנת דוגמה של שמות שדומים לתמיכה או ל-FortiCloud.
- בדקו את הרשת הפנימית: אם יש למכשיר חיבור ל-AD או ל-LDAP, החשבון המקשר בסכנה. עקבו אחר השימוש בו במקומות אחרים ברשת.
מה קרה מאז
ב-22 ביוני עדכנה CISA את האזהרה וצירפה קישור להנחיות של Fortinet. ב-6 באוקטובר 2026 פרסמו ה-FBI והשירות החשאי האמריקאי הודעה משותפת. לפי The Record, תוקפים פרצו למעל 86 אלף מכשירים. הם עלולים גם לנעול את המנהלים מחוץ להם.
מקורות והרחבה
- CISA Urges Hardening of Fortinet Devices After Reports of Credential ExposureCISA
- Analysis of Reported Credential Compromise of FortiGate DevicesFortinet PSIRT
- CISA warns Fortinet users to secure devices after FortiBleed leakBleepingComputer
- FortiBleed warning from FBI and Secret ServiceThe Record
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
