#fortinet

FortiBleed: 74,000 Admin Credentials Cracked From Devices That Were Already Patched

Khoảng 74.000 thông tin đăng nhập quản trị Fortinet đã bị bẻ khóa bởi các cụm GPU từ các bản sao lưu cấu hình bị đánh cắp thông qua lỗ hổng cũ, cho thấy việc chỉ vá lỗi thiết bị là chưa đủ.

Lập trình viên nên đọc bài này để hiểu cách các lỗ hổng cũ có thể vẫn gây nguy hiểm khi không áp dụng các biện pháp bảo mật bổ sung như kiểm soát truy cập, giám sát hoạt động và sử dụng công cụ phân tích an ninh hiện đại.

CISA urges immediate action on actively exploited Fortinet flaws

CISA yêu cầu các cơ quan chính phủ ưu tiên vá hai lỗ hổng Fortinet FortiSandbox đang bị khai thác tích cực.

Lập trình viên nên đọc bài này để hiểu cách bảo mật hệ thống của Fortinet, đặc biệt là các lỗ hổng được khai thác ngay lập tức, giúp họ có thể tích hợp kiến thức này vào việc phát triển ứng dụng an toàn và khắc phục nguy cơ bảo mật trong các dự án tương tự.

QuickFox Supply Chain Attack Used to Deploy FDMTP Implant

Viện nghiên cứu sự cố FortiGuard Labs phát hiện cuộc tấn công chuỗi cung ứng QuickFox sử dụng các bộ cài Windows độc hại, nhắm mục tiêu có chọn lọc và cấy ghép FDMTP liên tục tiến hóa.

Lập trình viên nên đọc bài này để hiểu cách các tấn công cung ứng chuỗi cung ứng (supply chain attack) như QuickFox có thể xâm nhập hệ thống thông qua các mã độc giả đeo (trojanized) và ảnh hưởng đến các dự án phần mềm, từ đó nâng cao kiến thức phòng thủ và phát hiện rò rỉ mã nguồn giả mạo.

Fortinet’s new FortiGate platform converges firewall, SASE technologies

Fortinet ra mắt dòng thiết bị tường lửa tốc độ cao mới, khi kết hợp với phần mềm FortiSASE Outpost, mở rộng khả năng SASE (secure access service edge) dựa trên đám mây và thực thi chính sách đến các môi trường do khách hàng kiểm soát như cơ sở tại chỗ, trung tâm dữ liệu riêng hoặc cơ sở colocation.

Lập trình viên nên đọc bài này để hiểu cách Fortinet kết hợp kiến trúc firewall và SASE để tối ưu hóa bảo mật cho các ứng dụng cloud và môi trường trên địa phương, giúp xây dựng hệ thống an ninh thông minh hơn với các giải pháp tích hợp phần mềm và phần cứng.

Intel fortifies Foundry with an actual customer: Fortinet

Firewall maker looks to safeguard its custom ASIC production with homegrown silicon

FortiBleed credential-theft campaign linked to Lynx ransomware

Chiến dịch đánh cắp thông tin đăng nhập FortiBleed, từng lộ dữ liệu từ hơn 73.000 thiết bị Fortinet, nay được kết nối với các nhóm ransomware INC và Lynx. Các nhà nghiên cứu phát hiện máy chủ Windows trong hệ thống FortiBleed truy cập vào bảng đàm phán của cả hai nhóm, chứng minh sự liên quan. Chiến dịch mở rộng hơn dự kiến, nhắm tới hơn 430.000 tường lửa FortiGate, cài sniffer trên ~19.000 thiết bị và có khoảng 20 thành viên tham gia. Kẻ tấn công còn khai thác lỗ hổng zero-day Nextcloud và tạo tài khoản backdoor tồn tại lâu dài với tên 'adminin'.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công khai thác lỗ hổng hệ thống bảo mật Fortinet (FortiBleed) để trộm mật khẩu và chuyển sang tấn công ransomware, giúp họ cải thiện kiến thức về các chiến thuật tấn công mới và bảo vệ hệ thống của mình trước các mối đe dọa liên quan đến các dịch vụ như ransomware-as-a-service.

FortiBleed Campaign Harvests 110M+ Credentials, Fuels Ransomware Operations

A large-scale credential-harvesting campaign called 'FortiBleed' has been uncovered, targeting over 430,000 internet-facing FortiGate firewalls by exploiting CVE-2026-35616 (CVSS 9.1) in FortiClient EMS. Attributed to a Russian-speaking initial access broker, the campaign deployed a custom Golang packet sniffer ('FortigateSniffer') on ~12,000 devices to passively intercept authentication traffic across 24 protocols, amassing over 110 million credentials. The operation is directly linked to INC Ransom and Lynx ransomware-as-a-service groups, with at least 12 confirmed ransomware deployments. Immediate mitigations include upgrading FortiClient EMS to 7.4.7+, rotating all credentials, auditing for the 'adminin' backdoor account, restricting port 8013, and enabling MFA on FortiGate admin interfaces.

FortiBleed Actors Collaborating With Inc, Lynx Ransomware Gangs

SOCRadar research reveals that the FortiBleed initial access broker (IAB) campaign — which compromised thousands of Fortinet FortiGate firewalls using a Golang-based credential sniffer — is now collaborating with Inc Ransom and Lynx ransomware-as-a-service gangs. A single operator was found logged into both ransomware negotiation panels using infrastructure traceable to FortiBleed. The IAB has achieved admin-level access on 409 targets, with at least 12 confirmed ransomware deployments. Additionally, the FortiBleed group is exploiting an undisclosed zero-day vulnerability in Nextcloud to expand access. SOCRadar assesses the IAB as a structured ~20-person operation acting as an access-supply layer, with Inc and Lynx as downstream monetization channels.

FortiBleed Targeted FortiGate Firewalls in 110 Million-Credential Harvesting Operation

A large-scale credential-harvesting campaign dubbed FortiBleed, attributed to a Russian-speaking initial access broker, has been targeting FortiGate firewalls since February 2026. The operation compromised over 430,000 devices globally using a Golang-based tool called FortigateSniffer, which abuses FortiOS's built-in diagnostic packet-sniffing capability to passively capture authentication traffic across 24 protocols. Over 110 million credentials were identified, including RADIUS credentials, NTLM hashes, Kerberos hashes, and MySQL tokens. Attackers then cracked and reused these credentials against Active Directory domains and other services. SMBs and IT service providers were primary targets. The campaign also extended to Synology NAS, Sophos firewalls, Citrix SSL-VPNs, and Microsoft SQL Server systems. CISOs are advised to rotate credentials, harden internet-facing access, enforce MFA, and hunt for signs of packet sniffing and lateral movement.

FortiBleed Attackers Turn Firewalls Into Credentials Stealers

SOCRadar has published a detailed whitepaper exposing the full attack chain behind the 'FortiBleed' campaign, a large-scale credential harvesting operation targeting over 430,000 FortiGate firewalls globally. Threat actors, likely Russian-speaking, deployed a Golang-based tool called FortigateSniffer that abuses FortiOS's built-in diagnostic commands to passively capture authentication traffic across 24 protocols without installing traditional malware. The campaign has already stolen over 110 million credentials including RADIUS, NTLM, and Kerberos material, created 659 credential-harvesting pipelines, and breached targets including a NATO-aligned defense contractor. The attack chain involves five steps: reconnaissance, credential stuffing/brute-force, passive sniffing post-compromise, hash cracking via GPU infrastructure, and lateral movement culminating in data theft or ransomware. CISA has urged organizations to harden Fortinet environments. Recommended mitigations include rotating all credentials, enforcing MFA, removing FortiGate management interfaces from internet exposure, and reviewing authentication logs.