FortiBleed: credenziali di circa 74.000 firewall e VPN Fortinet esposte
A giugno 2026 un ricercatore ha trovato un server aperto con credenziali apparentemente valide di decine di migliaia di firewall e gateway VPN Fortinet. L'agenzia americana CISA ha lanciato un'allerta. Qui trovi che cosa è confermato e che cosa no.
Scheda aggiornata al 21 ottobre 2026 Seguito nel tempo Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Seguiamo il caso ogni settimana, anche dopo che la stampa smette di occuparsene.
Data di inizio dell'evento: giugno 2026 (allerta CISA del 18 giugno) · Ultimo controllo delle fonti: 21 ottobre 2026
- Scheda creata. Ultimo sviluppo che risulta dalle fonti consultate: gli articoli del 19–20 giugno 2026 sull'allerta della CISA. Non abbiamo ancora verificato sviluppi successivi (eventuali dichiarazioni di Fortinet, nuovi casi accertati).
- La CISA emette l'allerta sulle credenziali di circa 74.000 apparati Fortinet.
Tre cose da sapere
Che cosa è successo
Il ricercatore Bob Diachenko ha trovato un server esposto con nomi utente, email e password in chiaro legati a circa 74.000 apparati Fortinet (firewall e accessi VPN) in 194 Paesi. Il 18 giugno la CISA ha emesso un'allerta.
Che cosa ha comportato
Secondo la CISA, attori malevoli stanno prendendo di mira apparati Fortinet raggiungibili da Internet usando credenziali compromesse. Gli apparati interessati possono essere nel perimetro di aziende e uffici pubblici.
Che cosa non si sa
Come siano stati ottenuti i dati (una vulnerabilità nota o nuova?) e in quanti casi gli apparati siano stati davvero violati.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| Il 18 giugno 2026 la CISA ha emesso un'allerta su segnalazioni di credenziali esposte di circa 74.000 firewall e gateway VPN Fortinet, e sul fatto che attori malevoli stanno prendendo di mira apparati Fortinet raggiungibili da Internet con credenziali compromesse. | Dichiarato | [1] [2] |
| Il ricercatore Bob Diachenko ha trovato un server esposto con quelle che sembravano credenziali VPN valide. | Riportato dalla stampa | [1] [2] |
| I dati comprendevano nomi utente, email e password in chiaro, oltre a informazioni sulle organizzazioni (settore, fatturato, dipendenti). Secondo Hudson Rock riguardano 73.932 indirizzi di firewall, 21.632 domini e 194 Paesi. | Stima | [1] [2] |
| Il ricercatore Kevin Beaumont ha verificato in modo indipendente che almeno una parte delle credenziali è autentica e ha detto che la maggior parte degli apparati è ancora online. | Riportato dalla stampa | [1] [2] |
| Secondo Diachenko, un gruppo di lingua russa avrebbe tentato circa 1,16 miliardi di accessi contro oltre 320.000 apparati FortiGate per intercettare i dati di accesso. Non è un fatto accertato. | Ipotesi | [1] [2] |
| Alcune fonti citano organizzazioni in Giappone, Taiwan, Vietnam, Iraq e Turchia come «completamente compromesse», e il furto di documenti da un'azienda turca della difesa: sono affermazioni non verificate. | Ipotesi | [2] |
| La CISA raccomanda di chiudere tutte le sessioni VPN e amministrative, cambiare tutte le password VPN e amministrative, attivare un'autenticazione a più fattori resistente al phishing, controllare i registri per accessi o spostamenti non autorizzati, eliminare account non autorizzati e non esporre su Internet le interfacce di gestione. | Dichiarato | [1] [2] |
- Come siano stati ottenuti i dati: l'origine non è nota (si ipotizza che vengano dalle configurazioni esportate degli apparati).
- Se sia stata usata una vulnerabilità nota o nuova.
- In quanti casi gli apparati siano stati davvero compromessi: le affermazioni sui singoli casi non sono verificate.
- Le fonti consultate non riportano una dichiarazione di Fortinet.
Considerazioni generali, valide per qualunque organizzazione: non sono conclusioni sull'azienda colpita.
- Un firewall o un accesso VPN raggiungibile da Internet protetto solo da nome utente e password è un bersaglio: l'autenticazione a più fattori resistente al phishing è il primo rimedio, oltre a limitare chi può raggiungere le pagine di gestione.
- Dopo un possibile furto di credenziali non basta aggiornare il software: vanno chiuse le sessioni aperte e cambiate tutte le password, come indica la CISA.
- Un inventario aggiornato degli apparati di perimetro (modello, versione, chi li gestisce e da dove) permette di rispondere in ore a un'allerta di questo tipo, non in settimane.
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | BleepingComputer | CISA warns Fortinet users to secure devices after FortiBleed leak | 19 giugno 2026 | Allerta della CISA, scoperta, dati esposti, raccomandazioni. |
| [2] | Security Affairs | CISA Warns of Active Exploitation Following FortiBleed Leak | 20 giugno 2026 | Allerta della CISA, verifica di Beaumont, stime di Hudson Rock, affermazioni non verificate. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Frigoriferi a 50 °C: l'attacco ai supermercati francesi · notte tra l'11 e il 12 ottobre 2026
- ASOS: notifica falsa nell'app e dati di clienti su piattaforme esterne · 6 ottobre 2026
- Brevo: accessi ai clienti e script alterati sui siti collegati · 9–14 settembre 2026
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto