בשבועות האחרונים פורסמה הכותרת "75 אלף פיירוולים של Fortinet נפרצו", ורבים המתינו למספר ה-CVE כדי לדעת מה לעדכן. וכאן ההפתעה הראשונה: אין CVE. אין טלאי (Patch) להתקנה. אין גרסה "בטוחה" שסוגרת את האירוע.
FortiBleed אינו באג בקוד – הוא תיק חקירה. אוסף עצום של שמות משתמש וסיסמאות תקפים לפיירוולים של Fortinet, שנאסף לאורך חודשים, אומת פריט אחר פריט, וסודר לפי מדינה, ענף ואפילו לפי מחזור ההכנסות של הארגון הקורבן. במילים אחרות: גורם עוין בנה מאגר של מפתחות לרשתות של עשרות אלפי ארגונים – ורבים מהמפתחות הללו עדיין תקפים, ברגעים אלה ממש.
נפתח את התיק.
מהו FortiBleed
ב-13 ביוני 2026 נתקל חוקר האבטחה Volodymyr "Bob" Diachenko בשרת חשוף לאינטרנט – תיקייה פתוחה שנותרה ללא הגנה. בתוכה: רשימת סיסמאות פעילות ככל הנראה לפיירוולים של FortiGate. מכאן התגלגלה החקירה: חברות מודיעין הסייבר Hudson Rock, SOCRadar ו-Bitsight הצטרפו לניתוח, החוקר Kevin Beaumont אימת אישית שהסיסמאות אמיתיות ופעילות – והשם FortiBleed אומץ בתעשייה.
התמונה, נכון לכתיבת שורות אלה:
- כ-75,000 פיירוולים של FortiGate עם פרטי גישה מאומתים שדלפו (ההערכות נעות בין 73,000 ל-86,644, בהתאם לחוקר ולתאריך).
- 194 מדינות – כמעט כל מדינה בעולם.
- לפי SOCRadar, מדובר בכמחצית מכלל הפיירוולים של Fortinet החשופים ישירות לאינטרנט (על בסיס נתוני Shodan).
- המידע כולל סיסמאות מנהל (admin) לפיירוול וכן פרטי גישה ל-SSL VPN.
- הקמפיין פעיל לפחות מאז פברואר 2026, וחלק מהמכשירים מנוטרים על-ידי התוקפים באופן פעיל עד היום.
הענפים שנפגעו במידה הרבה ביותר בעולם: שירותי IT ותקשורת – בדיוק הארגונים שכל האחרים תלויים בהם.
כיצד זה קרה
כדי להבין את FortiBleed נדרש להבין נקודה טכנית אחת – וממנה מתגלגל כל הסיפור.
פיירוול של FortiGate שומר את פרטי המנהלים שלו – כולל ה-hash של הסיסמה – בתוך קובץ התצורה (Configuration) של המכשיר. תוקף שמשיג את קובץ התצורה אינו מקבל רק מפת רשת – הוא מקבל את חומר הגלם שממנו ניתן לשחזר סיסמאות פעילות באופן אופליין, ללא כל התחברות למכשיר עצמו.
הבעיה: ה-Hash הישן
במשך שנים שמרה Fortinet את הסיסמאות בשיטת SHA-256 with Salt – שיטה הנחשבת כיום חלשה יחסית וניתנת לפיצוח אופליין בכוח גס (Brute Force). רק בסוף 2025, בגרסאות FortiOS 7.2.11, 7.4.8 ו-7.6.1, עברה החברה ל-PBKDF2 – אלגוריתם איטי ועמיד משמעותית יותר לפיצוח.
הנקודה הקריטית שמסבירה את האירוע כולו: המעבר ל-PBKDF2 אינו מתרחש אוטומטית עם שדרוג הגרסה. הוא נכנס לתוקף רק לאחר שאותו מנהל מתחבר מחדש בפעם הראשונה שלאחר השדרוג. עד אז, הסיסמה ממשיכה להישמר בפורמט SHA-256 הישן והחלש. חמור מכך: לצורך תאימות לאחור, ה-hash הישן נשמר בהגדרה מוסתרת בשם old-password, שאינה נראית למנהל רגיל – אך כן מופיעה בגיבוי תצורה המבוצע על-ידי super_admin.
בהשאלה: הוחלף מנעול פשוט במנעול משוריין – אך המפתח הישן נותר מתחת לשטיח. התוקפים יודעים בדיוק היכן השטיח.
הממצא השני: גם סיסמאות חזקות דלפו
וכאן מגיע הממצא המשמעותי ביותר. במאגר נמצאו סיסמאות באורך 25 תווים ומעלה, המשלבות סימנים, מספרים ואותיות – בטקסט גלוי (Plaintext). הן לא פוצחו; הן פשוט כבר היו ידועות, מועתקות מילה במילה מלוגים של נוזקות infostealer שהדביקו מחשבים של עובדים.
המשמעות: סיסמה חזקה שדלפה דרך infostealer שקולה לסיסמה חלשה. "123456" ו-Xq9!vR2@mK7#pL4$wN8& – אם שתיהן דלפו, שתיהן חושפות את הארגון באותה מידה.
שרשרת המתקפה – כך זה נראה בשטח
- סריקה (Reconnaissance): סריקת אינטרנט המונית באמצעות כלים כגון Masscan ו-Shodan לאיתור פיירוולים חשופים, ודירוגם לפי "שווי" הקורבן.
- איסוף פרטי גישה: שילוב של קבצי תצורה גנובים, סיסמאות ממוחזרות מאירועים קודמים ולוגים של infostealer.
- פיצוח אופליין: שבירת ה-hashes החלשים (SHA-256) מחוץ לרשת הקורבן – ללא השארת עקבות.
- אימות: בדיקה שקטה שהפרטים אכן פעילים, וארגונם במסד נתונים לפי מדינה, ענף ומחזור הכנסות.
- ניצול או מכירה: גישה ישירה, או מכירת הגישה לגורמים אחרים (Initial Access Brokers).
במקביל, אותה קבוצה הריצה 2.1 מיליארד ניסיונות Brute Force מול 163,000 שרתי Microsoft SQL. כלומר, FortiBleed אינו "אירוע Fortinet" נקודתי – הוא מבצע רחב של השגת גישה ראשונית, שבו הפיירוולים הם רק הדלת הנוחה ביותר.
מי עומד מאחורי הקמפיין
SOCRadar ייחסו את הקמפיין לקבוצת הכופר Lynx / INC. הכלים, בחירת התשתיות ובחירת הקורבנות – עם דגש ניכר על ארגונים במדינות NATO – עקביים עם גורמי איום דוברי רוסית. בין הנתונים שנחשפו מהשרת של התוקפים נמצאו גם פרטי גישה למה שנראה כ-VPN של תעשייה ביטחונית – אינדיקציה לכך ששאיפות הקבוצה חורגות מהזירה הפיננסית בלבד.
Bitsight זיהו בקמפיין כלי Post-Exploitation מוכרים, בהם כלי המנהור Chisel ו-Neo-reGeorg – כלים שנצפו בעבר בקמפיינים ממומני-מדינה נגד ציוד קצה של Fortinet, ובהם Volt Typhoon.
אבל Fortinet הודיעה שאין פרצה – אז מה הבעיה?
נכון, וזו הנקודה החשובה ביותר באירוע כולו. ה-PSIRT של Fortinet פרסם הודעה חד-משמעית, לפיה אין מדובר בחולשה חדשה של Fortinet, והפעילות אינה קשורה לאף אירוע או Advisory עדכני. לפי החברה, מדובר במיחזור פרטי גישה מאירועים קודמים (FG-IR-26-060, FG-IR-25-647) ובטכניקות Brute Force נגד מכשירים עם היגיינת סיסמאות חלשה וללא MFA.
הניסוח נכון טכנית. אולם – וזה לב העניין – הוא אינו משנה דבר עבור ארגון שנמצא כעת במאגר. אין זה משנה אם הסיסמה נגנבה לפני שבוע או לפני שנתיים; אם לא הוחלפה, ואם המכשיר עדיין חשוף לאינטרנט – הדלת פתוחה. כאשר המפתח עדיין תקף, ההבחנה בין "מידע ישן" ל"איום נוכחי" מאבדת כל משמעות.
וזה בדיוק ההבדל בין תגובה ל-CVE רגיל לבין תגובה ל-FortiBleed: ב-CVE השאלה היא "איזו גרסה אנחנו מריצים?". כאן השאלה היא "האם פרטי הגישה שלנו נחשפו אי-פעם, מוחזרו, פוצחו או נותרו בתוקף לאחר אירוע קודם?"
ה-CVEs הרלוונטיים ברקע
FortiBleed עצמו אינו CVE – אך מספר חולשות של Fortinet רלוונטיות לאירוע, שכן הן נוגעות באותם משטחי בקרה רגישים (אימות מנהל, SSO, חשיפת תצורה). מומלץ לוודא שהן מטופלות:
- CVE-2026-24858 – עקיפת אימות קריטית ב-FortiCloud SSO (SAML), ציון CVSS עד 9.8. נכללת בקטלוג ה-KEV של CISA.
- CVE-2022-40684, CVE-2023-27997, CVE-2024-55591 – חולשות ותיקות יותר, העשויות להיות מקור היסטורי לקבצי תצורה שדלפו.
- CVE-2025-59718, CVE-2025-59719 – נתיבי ניהול נוספים שיש לוודא כי הם מעודכנים.
מה עושים עכשיו – רשימת פעולות מיידית
אם ברשותכם ולו פיירוול Fortinet אחד החשוף לאינטרנט, יש להתייחס לפרטי הגישה שלו כאל חומר חשוף עד שיוכח אחרת. אלה הצעדים, לפי סדר עדיפות:
- הסירו את ממשק הניהול מהאינטרנט. הגבילו גישה לכתובות IP פנימיות מהימנות, לנתיב ניהול מבוסס-VPN בלבד, או לרשת ניהול Out-of-Band. פורטל SSL VPN יישאר חשוף ציבורית רק אם קיים צורך עסקי מובהק.
- אפסו את כל סיסמאות המנהל וה-VPN – ללא יוצא מן הכלל, ובפרט במכשירים חשופים. אין להניח ש"הסיסמה החזקה שלנו בטוחה" – כפי שהוסבר לעיל, גם סיסמאות חזקות דלפו בטקסט גלוי.
- אכפו הסבה מלאה ל-PBKDF2. ב-FortiOS 7.2.x / 7.4.x הפעילו את ההגדרה login-lockout-upon-downgrade (המכונה גם login-lockout-upon-weaker-encryption) תחת system password-policy, כדי לנקות את ה-hash הישן שנותר ב-old-password.
- הפעילו MFA על כל חשבונות הניהול והגישה מרחוק. זו ההגנה היחידה שנותרת אפקטיבית גם כאשר הסיסמה כבר דלפה.
- עדכנו את FortiOS לגרסה עם PBKDF2 (לפחות 7.2.11 / 7.4.8 / 7.6.1) והתקינו את הטלאים ל-CVEs שפורטו לעיל.
- סרקו לוגים לאיתור חיבורים ממיקומים גאוגרפיים חריגים, ריבוי כשלי התחברות, יצירת חשבונות מנהל לא מוכרים (בפרט שמות חשודים כגון adminin או fgtsecure) או פעילות ניהולית בלתי צפויה.
- בדקו אם אתם ברשימה. Hudson Rock פרסמה כלי בדיקה חינמי באתר infostealers.com, המאפשר לבדוק אם הדומיין שלכם מופיע במאגר הקמפיין.
וכאן בדיוק נכנסת SPD
שימו לב לנקודה החוזרת לאורך האירוע כולו: FortiBleed לא נבע מהיעדר פיירוול. להפך – כל 75,000 הקורבנות היו מוגנים בפיירוול של יצרן מוביל. הכשל היה בכל מה שמתרחש לאחר ההתקנה: סיסמה שלא הוחלפה, ממשק ניהול שנותר חשוף לאינטרנט, hash ישן שלא נוקה, MFA שלא הופעל – ואיש לא ניטר את המערכת.
זהו בדיוק ההבדל בין שירות סייבר מנוהל לבין ספק IT שמתקין פיירוול ושוכח ממנו. פיירוול אינו מוצר שמתקינים פעם אחת ומסמנים כבוצע – הוא מערכת חיה, הדורשת ניטור בזמן אמת, עדכונים שוטפים וסגירת חלונות חשיפה ברגע שהם נפתחים.
ב-SPD אנו מפעילים עשרות פיירוולים המעודכנים בזמן אמת, הכוללים:
- ניטור 24/7 של פעילות חריגה וניסיונות גישה – לא "התקנה ושכחה".
- עדכוני קושחה וטלאי אבטחה שיטתיים, כולל סגירת נתיבי ניהול חשופים.
- אכיפת MFA והיגיינת סיסמאות כחלק ממדיניות – לא כהמלצה.
- SOC פנימי המזהה ומגיב לפני שדליפה הופכת לאירוע חמור.
בעולם שבו סריקות עוינות מתחילות בתוך דקות, ההבדל בין ארגון מוגן לארגון פרוץ אינו איזה פיירוול נרכש – אלא מי שומר עליו מדי יום.
יש לכם פיירוול Fortinet חשוף לאינטרנט ואתם לא בטוחים מתי הוחלפו הסיסמאות לאחרונה? בואו נדבר »
מקורות וקריאה נוספת
- SOCRadar – FortiBleed Investigation (86,644 firewalls): קישור
Fortinet PSIRT – Analysis of Reported Credential Compromise: קישור
Hudson Rock – FortiBleed 75,000 Firewalls Compromised: קישור
Arctic Wolf – Active FortiBleed Campaign Across 194 Countries: קישור
Bitsight – FortiBleed Security Alert: קישור
Picus Security – Inside the Campaign That Cracked 75,000 Firewalls: קישור
CSO Online – FortiBleed Campaign Exposes 75,000 Firewalls: קישור
CybelAngel – FortiBleed: 6 Things to Know: קישור
