FortiBleed 2.0 が示す外部に流出した FortiGate 設定：40,573件の平文の機密情報

FortiBleed 2.0 Reveals Thousands of Fortinet VPN and Active Directory Credentials in Exposed Configurations

2026/10/28 CyberSecurityNews — 10月27日に公開された FortiBleed 2.0 の調査で確認されたのは、外部に流出した FortiGate の設定情報に、40,573 件の平文の機密情報が存在していることである。そこに含まれていたのは、37,076 件のローカルユーザーのパスワードと、ファイアウォールへのアクセス／VPN サービス／内部の ID 管理システムを結び付ける 1,576 件の Active Directory LDAP バインド情報などである。

研究者たちが調査したのは、1,689個のホスト識別子に関連付けられた101,419件の認証情報とアカウント情報を含む、1,703個の設定レポート・ファイルである。これらのファイルには、管理者のログイン情報／メールサーバのパスワード／高可用性 (HA) クラスタの機密情報も含まれている。ただし、これらの数値は記録件数を示しており、重複のないユーザー数／実在が確認された物理デバイス数／使用可能な認証情報の件数を意味するものではない。

FortiBleed 2.0 という名称について説明すると、最近に入手されたファイルに基づく追加調査のことであり、新たに公開された脆弱性ではない。大半のファイルには 2026年02月20日の日付が付いているが、31個のファイルには日付がない。そのため、最初の不正アクセスや設定情報の窃取が発生した時期は確認されていない。

FortiBleed 2.0 で Fortinet VPN と AD の認証情報が流出

研究者たちが特定したのは、最初のデータセットとの比較において、以前の収集データには存在しなかった、新たな 924個のホスト識別子と975個のドメイン・ラベルである。

Overview of Hudson Rock’s free FortiBleed lookup portal (source : infostealers )
Overview of Hudson Rock’s free FortiBleed lookup portal

ただし、一連のドメイン・ラベルは、サービスプロバイダー／ドメイン登録時の連絡先／アカウント所有者に関連付けられている場合があるため、975社が新たに侵害されたと解釈すべきではない。今回の調査結果は、ネットワーク境界での認証に使用されるアカウントと、その背後にあるサービスの情報を明らかにすることで、以前の FortiBleed による認証情報漏えいに関する報道を補完するものとなっている。

関連する一連のツールが実行するのは、ファイアウォールの設定情報の抽出／保存された機密情報の復元／追加のアクセス試行である。その解析処理では、ローカルユーザー／管理者アカウント／LDAP 接続／クラスタ設定／メールの認証情報などが収集される。

FortiOS の設定で、システムのデフォルト暗号化キーが使用されている場合には、保存された ENC 形式の値の一部をオフラインで復号できる。ただし、この復号の可否は、ソフトウェアのバージョン／設定／利用可能な情報に応じて異なる。

Cavalier Exposes 54 Credential Records Across Two Hosts (source : infostealers )
Cavalier Exposes 54 Credential Records Across Two Hosts

流出したローカル・ユーザーのパスワードは、VPN へのアクセスに悪用される可能性があるが、実際にログインできるかどうかは、アカウントの状態／アクセス制御ルール／ネットワーク経由での接続可否／多要素認証 (MFA) の設定などの要因により決まる。

Hudson Rock の分析では、平文の情報を取り込んでいるが、無効化されたローカル・ユーザーの記録が 7,437件確認された。ただし、MFA に関するフィールドが空欄であっても、必ずしも MFA が設定されていないとは限らない。外部の認証システムにより、MFA が適用されている場合があるためだ。

LDAP バインドの認証情報は、FortiGate アプライアンスとディレクトリ・サービスを接続するため、特に注意が必要である。過剰な権限を持つアカウントが侵害された場合、被害が拡大する可能性がある。

ただし、通常の LDAP クエリを実行できるだけで、ドメイン管理者権限が自動的に付与されるわけではない。ただし、以前の FortiGate の設定情報窃取に関する報道でも、こうした情報が内部システムへのアクセスにつながる可能性が指摘されていた。

Cavalier’s Breach Data (source : infostealers )
Cavalier’s Breach Data

Fortinet の対応ガイダンスで求められるのは、管理者セッションと VPN セッションの終了／認証情報の変更／MFA の適用／ファームウェアの更新／管理インターフェイスへのアクセス制限である。

セキュリティ担当者に求められるのは、現在の設定を信頼できる設定情報と比較し、ファイアウォールとドメインコントローラのログを調査した上で、不審な活動の有無を確認することである。また、今回の設定情報の調査結果を踏まえ、LDAP バインド用のパスワード／クラスタの機密情報／メールサーバの認証情報の確認も必要となる。

調査担当者に対して強く推奨されるのは、fgtsecure や forticloud-sync などを、繰り返して確認する管理者アカウントを不正なものと判断する前に、その所有者を確認することである。アカウント名だけでは、悪意の活動が行われた証拠にはならない。

この記事は、セキュリティ機器である FortiGate の設定ファイルからの機密情報漏えいとリスクについて解説するものです。デフォルトの暗号化キーの使用やネットワーク境界デバイスでの不適切な機密情報管理が背景に存在します。影響として、パスワードや接続情報の平文流出／VPN や内部ディレクトリサービスへの不正アクセス拡大が生じる恐れがあります。対応策として、認証情報やバインドパスワードの速やかな変更／アクセスの制限／ログの確認および多要素認証 (MFA) の徹底が求められます。