A investigação FortiBleed 2.0, da Hudson Rock, encontrou 40.573 registros com segredos em texto não criptografado nos relatórios de configuração do FortiGate, expondo senhas e credenciais de serviços que podem ajudar atacantes a avançar além do firewall.
Publicada em 27 de outubro de 2026, a pesquisa também identifica 975 rótulos de domínio ausentes do conjunto de dados anterior do FortiBleed. Esses rótulos não representam 975 invasões de empresas recém-confirmadas.
A investigação da Hudson Rock analisou 1.703 relatórios de configuração com 101.419 registros de credenciais e contas vinculados a 1.689 identificadores de hosts. A maioria dos relatórios datados traz carimbos de 20 de fevereiro de 2026. Essas datas descrevem os relatórios, e não datas de comprometimento ou de roubo de configurações verificadas de forma independente.
Arquivos de configuração do FortiGate expostos
Os registros em texto não criptografado incluem 37.076 entradas de usuários locais, 1.576 entradas de vinculação LDAP (Lightweight Directory Access Protocol) do Active Directory, 1.672 logins administrativos, 144 segredos de clusters de alta disponibilidade e 105 credenciais SMTP (Simple Mail Transfer Protocol). Contas de vinculação LDAP permitem que firewalls se conectem a serviços de diretório, o que torna sua exposição relevante além do próprio equipamento.
No entanto, segredos expostos não equivalem a acesso funcional. Os pesquisadores encontraram 7.437 registros de usuários locais em texto não criptografado marcados como desativados. Logins administrativos rotulados como verificados refletem o conjunto de dados de origem, e não novos testes de autenticação. Campos de autenticação multifator (MFA) em branco também não provam que a MFA estava desativada.
As descobertas ampliam o roubo de credenciais do FortiBleed anterior, que descrevia o alerta da Fortinet sobre credenciais reutilizadas e ataques de força bruta. A nova investigação acrescenta tabelas de contas, conexões de diretório e segredos armazenados que uma simples lista de logins do firewall não revelaria.
A cadeia de ferramentas relatada vincula extração de configurações, recuperação de segredos, tentativas de conexão VPN (rede privada virtual) e verificações em sistemas internos. Um script de análise coleta usuários locais, entradas de administradores, configurações LDAP, segredos de cluster e credenciais de e-mail. Outras ferramentas tentam acesso VPN usando contas elegíveis. O sucesso ainda depende do status da conta, da alcançabilidade da rede, das regras da VPN e da MFA.
Alguns segredos de configuração do FortiOS usam criptografia reversível, e não hash de senha unidirecional. Quando as configurações utilizam a chave de criptografia padrão do sistema, os valores armazenados podem ser recuperados sem acesso ao equipamento. Chaves de criptografia específicas de cada dispositivo podem alterar esse risco, por isso a recuperação depende do firmware, das configurações e do material obtido.
Uma senha LDAP exposta não concede automaticamente acesso de administrador de domínio. O impacto depende das permissões da conta. Uma conta com direitos excessivos aumenta o risco, enquanto direitos comuns de consulta ao diretório, por si só, não dão controle sobre o Active Directory.
Dos 1.689 identificadores de hosts, 924 não constavam no FortiBleed 1.0. Os pesquisadores também encontraram 1.453 rótulos de domínio nos campos de atribuição, nos e-mails de registro e nos nomes de usuário em formato de e-mail, incluindo 975 ausentes da comparação anterior. Alguns rótulos podem identificar provedores de serviço ou serviços de e-mail, e não vítimas.
O relatório sobre o contorno de login único (SSO) do FortiCloud traz contexto relacionado, mas nenhum método de entrada único foi estabelecido para todos os hosts deste conjunto de dados.
A orientação de resposta da Fortinet recomenda encerrar sessões administrativas e de VPN, redefinir credenciais, exigir MFA, atualizar o firmware e restringir o acesso às interfaces de gestão. As equipes devem comparar configurações com backups confiáveis, investigar contas desconhecidas e analisar os logs do firewall e dos controladores de domínio em busca de movimentação interna.
As organizações também devem rotacionar os segredos LDAP, de cluster e SMTP expostos e atualizar os serviços dependentes. O portal gratuito de consulta da Hudson Rock permite que defensores verifiquem a exposição de domínios e solicitem detalhes da divulgação para comparar com seus próprios registros.
