近期 Bitdefender Labs 发布官方安全预警名为 FortiBleed 的大规模凭据窃取攻击活动正在全球扩散本次风险不存在可修复系统漏洞没有官方补丁能够彻底封堵。截至 6 月 19 日攻击者已从 194 个国家约 86644 台独立设备中盗取管理员与 VPN 账号凭据受害设备数量接近全球公网 FortiGate 防火墙总量的一半。一、FortiBleed 核心危害不靠漏洞仅凭老旧哈希批量窃取账号和传统高危漏洞攻击完全不同本次威胁不存在可利用系统漏洞无法通过打补丁根除风险。整套攻击具备自扩增传播机制持续扩大受害范围全网扫描暴露资产攻击者全网探测对外开放 FortiGate 管理后台、SSL VPN 门户的设备远程导出配置爆破哈希远程下载设备备份配置文件SpyCloud 披露攻击者可租用 GPU 集群开展哈希爆破相关 45 块 GPU 算力数据尚未独立验证配置内存储加盐 SHA-256 密码哈希可短时间离线破解沦陷设备沦为监听中继攻击者拿到合法管理员账号登录后篡改设备配置抓取所有通行 VPN 凭据新盗取账号再次投入扫描体系攻击范围持续扩张。两种密码哈希机制核心差异SHA-256老旧低迭代哈希硬件算力下极易离线爆破仅管理员账号在固件升级后未重新登录时设备会持续保留该类哈希普通 VPN 本地用户不受此遗留机制影响PBKDF2高迭代抗破解哈希FortiOS 7.2.11/7.4.8/7.6.1 及以上新版本才支持。仅升级固件不足以消除风险管理员必须重新登录系统旧 SHA-256 哈希才会替换7.2、7.4 系列设备还需开启弱加密锁定功能彻底清除遗留弱哈希记录。二、多机构同步预警攻击源头可追溯6 月 13 日安全研究员曝光攻击者泄露的海量 Fortinet 凭据数据库6 月 18 日美国 CISA 发布专项加固预警要求企业立刻收紧公网访问权限6 月 19 日 SpyCloud 披露攻击者硬件算力、受害设备统计数据6 月 22 日 Fortinet 发布两份官方公告 FG-IR-26-060、FG-IR-25-647确认事件源于凭据复用、弱密码、未开启 MFA并非新型系统漏洞。本次窃取活动背后团伙 SantaAd 长期针对防火墙、VPN 设备开展凭据盗取。此前 CVE-2026-24858、CVE-2025-59718、CVE-2025-59719 三类 FortiCloud 单点登录漏洞曾泄露大量账号成为本次攻击数据源基础但仅修复这几个历史漏洞无法阻断当前 FortiBleed 窃取行为。三、企业四步紧急处置清单按优先级执行1. 排查暴露面切断公网直连最高优先级从外网模拟攻击者视角测试防火墙管理、SSL VPN 门户是否可直接访问梳理全环境 FortiOS 版本低于 7.2.11/7.4.8/7.6.1 存在管理员哈希泄露风险。立即将管理接口、VPN 访问限制至内网 IP、可信跳板机或内网 VPN 通道彻底关闭公网直达通道。2. 账号紧急加固全量改密 强制 MFA所有管理员、VPN 用户密码全部轮换杜绝历史密码复用全账号强制开启多因素认证 MFA即便凭据泄露攻击者也无法完成登录。3. 固件升级 哈希彻底迁移升级至 7.2.11/7.4.8/7.6.1 及更高版本所有管理员账号重新登录系统自动将 SHA-256 替换为 PBKDF2 哈希7.2、7.4 系列设备开启「弱加密登录锁定」功能清除遗留旧哈希记录。4. 日志审计排查历史沦陷痕迹重点检索六类异常日志① 配置文件导出至外部 IP② 异地、非常规时段管理员登录③ 未经流程新增管理员账号④ 日志、权限、接口配置被篡改⑤ 设备对外持续建立隧道外联⑥ VPN 用户异地异常登录。出现任意一条记录需全面排查内网横向移动风险。四、长期持续监控策略加固完成后需常态化监控四类异常行为非信任外网 IP 尝试登录管理后台同一账号短时间跨地域 VPN 登录防火墙配置、认证策略变更批量导出设备配置文件行为。五、Bitdefender GravityZone 三重防护前置拦截 FortiBleed 风险【配图GravityZone EASM 外部攻击面管理界面】1. EASM 外部攻击面管理事前预防无需在网络设备安装代理完全站在攻击者外网视角扫描资产提前暴露无台账影子防火墙从源头消除攻击者扫描入口。2. MDR 7×24 全天候行为监测事中告警攻击无恶意文件特征仅靠合法账号登录传统查杀无法识别。MDR 依靠行为基线识别异地管理员登录、批量导出配置、VPN 跨地域访问等异常依托 GravityZone 全资产清单针对全网 Fortinet 设备定向开展威胁狩猎。3. EDR 与风险管理联动溯源事后追溯终端 EDR 监测被盗账号发起的横向移动、异常脚本、权限篡改行为Risk 管理模块扫描终端上 Fortinet 客户端补丁漏洞形成完整闭环防护。总结传统漏洞修复思路不适用于 FortiBleed 事件仅升级系统、修补过往 CVE 无法抵御风险对外开放管理端口、弱密码、未开启 MFA、遗留弱哈希才是核心安全短板。企业需第一时间执行访问隔离、全量改密、MFA 部署、固件哈希迁移四项紧急动作同时借助外部攻击面扫描、全天候行为监测工具持续监控资产暴露与异常登录行为防止攻击者持续窃取凭据渗透内网。如需了解 GravityZone 外部攻击面管理、MDR 托管检测服务详情可私信咨询获取产品方案。
