FortiBleed の積極的な悪用：FortiGate デバイスから認証情報を収集 – Fortinet

FortiBleed – Fortinet Warns of Active Credential Harvesting Campaign Targeting FortiGate Devices

2026/06/22 CyberSecurityNews — Fortinet が発行した緊急セキュリティ・アドバイザリは、FortiGate アプライアンスを標的とする “FortiBleed” という認証情報窃取キャンペーンについて顧客に警告するものだ。Carl Windsor と共有された同社の分析によると、この活動は新たな脆弱性に起因するものではない。過去に開示されたセキュリティ上の欠陥／不十分なパスワード衛生／多要素認証 (MFA) の未導入を組み合わせて、このアプライアンスを悪用するものである。

“FortiBleed” は、194 カ国にまたがるインターネット公開の FortiGate ファイアウォール／VPN アプライアンスのうち、最大 86,000 台に影響を及ぼす、きわめて重要な Fortinet セキュリティ・インシデントの 1 つとなっている。

FortiBleed はゼロデイではない。Fortinet の調査によると、脅威アクターは、FG-IR-26-060 (CVE-2026-24858) および FG-IR-25-647 (CVE-2025-59718／CVE-2025-59719) として追跡される、以前に文書化された 2 件のインシデントで露出した認証情報を再利用している。そして、強力な認証情報制御が存在しない、インターネット公開の FortiGate デバイスに対して、AI 加速型ブルートフォース手法を実行している。

Fortinet が指摘するのは、このキャンペーンが、最近の脆弱性開示とは無関係である点だ。また、以前のアドバイザリで示された修復手順を完了した顧客は、影響を受けないはずだと強調している。

同社は、侵害されている可能性があるシステムをプロアクティブに特定し、影響を受ける顧客へ直接連絡していると述べている。それに加えて、関連する政府機関とも連携している。

主な攻撃ベクターは、インターネット公開の FortiGate アプライアンスにおける、管理者および VPN 認証情報であるが、それらは脆弱なものや、再利用されたものである。また、MFA が未導入であれば、さらに攻撃の影響が増幅される。

脅威アクターがアクセスを取得した後の悪用の挙動には、不正なコンフィグ変更／不正アカウントの作成／内部ネットワークへのラテラル・ムーブメントなどがある。不正アカウントの例としては、“forticloud”／“fortiuser”／“fortinet-support”／“fortinet-tech-support” などのユーザー名がフラグ付けされている。特に、Active Directory または LDAP と統合された環境が標的にされやすい。

米国の CISA は、大規模な認証情報露出キャンペーンに関する報告を受け、Fortinet デバイスを保護するよう警告する緊急アドバイザリを、政府関連組織に対して発行している。

即時の修復手順

Fortinet は、すべての FortiGate 顧客に対し、以下の対応を遅滞なく実施するよう促している。

• すべての管理者および VPN セッションを終了し、特にインターネット公開システム上の Fortinet VPN および管理者認証情報を直ちにリセットする。
• すべての管理者アカウントおよび VPN ユーザー・アカウントに対して、MFA を強制する。
• 管理者認証情報に対して PBKDF2 ハッシュをサポートする、FortiOS 7.4／7.6／8.0 へとアップグレードする。また、set login-lockout-upon-weaker-encryption を使用して、レガシーなパスワード設定を削除する。
• 既知の正常なベースラインと照合してコンフィグを監査し、不正なアカウント追加やポリシー変更に注意を払う。
• 不明な IP アドレスからの予期しない管理者アクセス・ログを確認し、ラテラル・ムーブメントや不審なアカウント活動の兆候について、ドメイン・コントローラのログを監視する。
• 信頼できるホストだけに管理アクセスを制限し、local-in policy を適用するか、インターネット公開の管理機能を完全に削除する。

不正なコンフィグ変更／認識できない VPN ユーザー／予期しないパスワード・リセットを発見した組織は、デバイスが完全に侵害されたものとして扱うべきである。

Fortinet が推奨するのは、公開済みのインシデント復旧ガイダンスに従うことである。また、AD／LDAP 統合が構成されている場合には、それらのアカウントも侵害されたものとして扱い、異常な認証や新規アカウントの作成についてディレクトリを監視するよう勧告している。

内部ネットワークの侵害が疑われる組織に対しては、Fortinet の FortiGuard Incident Response チームが、影響範囲調査の支援を提供している。

このキャンペーンは、新たなエクスプロイトではなく、以前に露出した認証情報に依存するものである。それが浮き彫りにするのは、ベンダーが提示する修復手順を迅速に完了させ、すべての管理インターフェイスで一貫した MFA と強力なパスワード・ポリシーを適用することの重要性である。

FortiGate デバイスを狙った認証情報の奪取事案が多発しています。この問題の背景には、過去の脆弱性 (CVE-2026-24858／CVE-2025-59718／CVE-2025-59719) で漏洩した情報の再利用や、多要素認証の未導入といった管理上の隙があります。悪用された場合には、コンフィグの改竄や内部ネットワークへの侵入といった深刻な影響が生じます。対応策として、まずは接続パスワードの速やかなリセットと多要素認証の導入を進めてください。また、不要な外部公開を控え、不審なログがないか定期的に点検すべきだと、この記事は指摘しています。よろしければ、2026/06/17 の「FortiBleed という偵察キャンペーンを検出：194 カ国にわたる 73,932 件の URL でログインチェック中」も、ご参照ください。