FortiBleed и три CVE FortiSandbox: счёт от Fortinet предъявлен

Вопрос, который каждый руководитель платформы с периметром на Fortinet должен задать своему CFO и юрисконсульту на этой неделе, — не «патчить или нет», а «оправдывает ли себя следующее трёхлетнее продление». Три CVE FortiSandbox активно эксплуатируются в реальных атаках, а параллельная кампания под названием FortiBleed прошлась по более чем 30 000 межсетевых экранов в 194 странах. Экономика периметра на единственном вендоре только что изменилась, а большинство бюджетов на безопасность ещё не успели перестроиться.

Это уже не история об уязвимостях. Это история о концентрации риска на одном вендоре, замаскированная под неё.

Что произошло

16 июня 2026 года компания по анализу угроз Defused Cyber опубликовала в X, что за предыдущие 24 часа зафиксировала эксплуатацию трёх уязвимостей FortiSandbox в реальной среде. Как сообщил The Hacker News, все три CVE имеют оценку CVSS 9.1: CVE-2026-39813 — обход пути в JRPC API FortiSandbox, позволяющий неаутентифицированному атакующему обойти аутентификацию через специально сформированные HTTP-запросы; CVE-2026-39808 — внедрение OS-команд без аутентификации по HTTP; и CVE-2026-25089 — ещё одно внедрение OS-команд, затрагивающее FortiSandbox, FortiSandbox Cloud и веб-интерфейс FortiSandbox PaaS.

Первые два Fortinet исправил в апреле 2026 года. Третий был закрыт лишь за неделю до публикации. Defused Cyber оценила, что эксплойт для CVE-2026-25089 несёт признаки разработки с использованием модели ИИ и является дефектным. Работающего публичного эксплойта раскрыто не было.

За этим раскрытием стоит значительно более масштабная история. SOCRadar сообщила, что предположительно русскоязычные злоумышленники скомпрометировали более 30 000 межсетевых экранов Fortinet в 194 странах после обнаружения операционного сервера, связанного с этой активностью. База данных атакующих, по данным SOCRadar, «содержит учётные данные более 30 791 устройства, принадлежащего компаниям и государственным организациям в 194 странах». Это были не угадки. Это были проверенные, рабочие учётные данные, протестированные автоматизированными инструментами, работавшими круглосуточно.

17 июня Hudson Rock опубликовал более точные данные: кампания, получившая название FortiBleed, затронула 73 932 уникальных URL межсетевых экранов и 21 632 уникальных пострадавших домена. Владимир «Боб» Дьяченко, первым указавший на эту активность в LinkedIn, оценил операцию в 1,16 миллиарда попыток подбора учётных данных против 320 777 целей FortiGate и 2,1 миллиарда попыток против 163 650 серверов MS-SQL. Среди скомпрометированных устройств — банки, телекоммуникационные операторы, больницы, университеты, государственные органы и энергетические компании. На долю Индии приходится 60% интернет-экспонированных развёртываний Fortinet в государственном секторе.

Техническая анатомия

Три CVE FortiSandbox имеют общую структуру. Все они не требуют аутентификации, все доступны по HTTP и все расположены на устройстве, которое по замыслу глубоко доверено внутри инспекционного конвейера. Sandbox-аплайанс получает подозрительные файлы и URL из всей среды, а значит, как правило, подключён к почтовым потокам, веб-прокси, EDR и SIEM. Скомпрометировать sandbox — значит оказаться не на краю сети, а в центре её логики обнаружения.

CVE-2026-39813 — это обход пути в JRPC API, что означает: аутентификация обходится ещё до выполнения какой-либо бизнес-логики. В сочетании с двумя уязвимостями внедрения OS-команд (CVE-2026-39808 и CVE-2026-25089) цепочка атаки сворачивается в один HTTP-запрос: обойти аутентификацию, внедрить команду, выполнить её от имени аплайанса. Для достижения эффекта не требуется никакого шага бокового перемещения. Соответствующие записи можно проверить в базе данных MITRE CVE, однако операционная реальность проста: это именно тот класс ошибок, которые попадают в каталог CISA KEV за дни, а не недели.

FortiBleed — совсем другая история. Это не единственный zero-day, а машина по сбору учётных данных. SOCRadar описывает двухэтапный подход: сначала проверяются ранее утёкшие пароли Fortinet против интернет-доступных устройств, поскольку многие организации так и не сменили учётные данные после предыдущих утечек. Затем, получив доступ к устройству, атакующие пассивно мониторят сетевой трафик для сбора дополнительных учётных данных по мере их прохождения. Скомпрометированные межсетевые экраны становятся точками прослушивания, возвращая новые учётные данные в ротацию. Hudson Rock отмечает, что атакующие взламывают хеши на кластере из 45 GPU, управляемом через Hashtopolis, и переходят от перехваченной аутентификации SSL-VPN во внутренние среды Active Directory.

Тревожная деталь в формулировке Hudson Rock: «Особенно тревожная особенность этого набора данных — большое количество чрезвычайно сложных паролей, которые были успешно скомпрометированы». Их вывод прямолинеен. «Сложность полностью нейтрализуется, когда пароли восстанавливаются в открытом виде». Если ваша политика паролей была последним рубежом обороны на VPN, этот рубеж стёрт.

Кто пострадает

В этом квартале три группы должны вести крайне неудобные внутренние разговоры.

Первая — любой регулируемый оператор, чья инфраструктура Fortinet находится внутри лицензируемого периметра. Лицензированные платформы iGaming, платёжные учреждения и криптобиржи, как правило, стандартизируются на одном вендоре межсетевых экранов, поскольку это упрощает подготовку доказательств для аудита. Теперь эта стандартизация стала обязательством. Скомпрометированный SSL-VPN аплайанс, передающий учётные данные в Active Directory, — это именно тот шаблон взлома, который запускает уведомления по Статье 33 GDPR, отчёты FCA SUP 15 и подачу инцидентов регуляторам игорной индустрии. Вопрос для юрисконсульта — не «установлены ли патчи», а «каков наш риск раскрытия, если наши учётные данные прямо сейчас находятся в базе данных русскоязычного оператора».

Вторая группа — финтех-компании и крипто-фирмы с концентрацией в Индии, США или Сингапуре. Все три страны входят в десятку наиболее пострадавших, а Индия структурно уязвима из-за плотности развёртывания в государственном секторе. Для финтех-компании серии B с инженерным хабом в Бангалоре за VPN на Fortinet реалистичный вопрос звучит так: не «может ли периметр корпоративной идентификации быть уже взломан», а «взломан ли он».

Третья группа — небольшие провайдеры управляемой безопасности, перепродающие Fortinet как стек по умолчанию. Их маржинальная модель зависит от объёмных скидок вендора и общих сценариев реагирования. Когда базовый аплайанс оказывается причастен к кампании по сбору учётных данных такого масштаба, давление оттока клиентов ложится на MSSP, а не на Fortinet. Ожидайте, что переговоры о продлении станут напряжёнными, и как минимум один среднерыночный MSSP воспользуется этим моментом для диверсификации стека в сторону Palo Alto, Cisco или облачного ZTNA-решения. За этим следует рынок найма: опытные инженеры по Fortinet, свободно владеющие Zscaler или Cloudflare Access, стали материально более ценными.

CFO любой из этих компаний должен на этой неделе задать вице-президенту по инженерии вопрос: какова реальная стоимость переключения — в долларах и человеко-месяцах — для сведения Fortinet к одной зоне вместо всего периметра? Шесть месяцев назад это число было теоретическим. Теперь оно является входными данными для следующего бюджетного цикла.

Сценарий для команд безопасности

Немедленно установите патчи для трёх CVE FortiSandbox, если вы ещё этого не сделали. CVE-2026-39813 и CVE-2026-39808 доступны с апреля 2026 года, поэтому любой незапатченный экземпляр уже более шестидесяти дней подвергается активной эксплуатации. CVE-2026-25089 был закрыт на неделе 9 июня. Относитесь ко всем трём как к эквивалентам KEV, независимо от того, появились ли они в каталоге CISA.

Помимо патчинга, на этой неделе важны три действия. Первое: смените все учётные данные, которые когда-либо проходили через SSL-VPN FortiGate. Не только административные — вообще все. Модель FortiBleed предполагает, что устройство стало точкой прослушивания с момента компрометации, поэтому исторический трафик под подозрением. Второе: выявите шаблон постэксплуатации, описанный Hudson Rock: перехват аутентификации SSL-VPN с последующей энумерацией Active Directory. Ищите аномальные запросы Kerberos и LDAP, исходящие из диапазонов IP VPN-концентраторов. Третье: честно проаудируйте политику сложности паролей. Если ваша история контролей опиралась на энтропию, эта история закончена. Фишинго-устойчивый MFA на краю VPN больше не является опцией.

Одно оперативное замечание относительно детали об эксплойте, созданном с помощью ИИ. Наблюдение Defused Cyber о том, что эксплойт для CVE-2026-25089 создан с ИИ-помощью и является дефектным, — это превью, а не аномалия. В следующие двенадцать месяцев на производственные цели будет обрушиваться поток полурабочих ИИ-генерированных эксплойтов в течение нескольких дней после выхода патча. Инженерия обнаружения должна исходить из более коротких окон «патч → эксплойт» как из нормы, а не исключения.

Ключевые выводы

• Три CVE FortiSandbox (CVE-2026-39813, CVE-2026-39808, CVE-2026-25089), все с CVSS 9.1, активно эксплуатируются по данным Defused Cyber; два закрыты в апреле 2026 года, один — только на неделе 9 июня.
• FortiBleed скомпрометировал более 30 000 межсетевых экранов Fortinet в 194 странах по данным SOCRadar; Hudson Rock насчитал 73 932 уникальных URL межсетевых экранов и 21 632 пострадавших домена.
• Кампания обработала 1,16 миллиарда попыток подбора учётных данных против 320 777 целей FortiGate, взламывая хеши на кластере из 45 GPU под управлением Hashtopolis и переходя в Active Directory через перехват SSL-VPN.
• Сложность пароля не является защитой, когда учётные данные восстанавливаются в открытом виде со скомпрометированных аплайансов; фишинго-устойчивый MFA на краю VPN теперь — минимальный порог, а не максимум.
• Команды, оценивающие стек периметра на 2027 год, должны сейчас задаться вопросом: как выглядит стоимость продления, если Fortinet — одна из трёх зон, а не решение по умолчанию повсюду?