FortiBleed : pourquoi le correctif ne suffit pas pour votre pare-feu Fortinet
Le 6 octobre 2026, le FBI et le Secret Service américain ont publié une alerte conjointe sur FortiBleed, une campagne de vol d’identifiants qui vise les pare-feu FortiGate et les passerelles VPN SSL de Fortinet exposés à Internet. Le message est clair : la campagne, découverte cet été, est toujours active. Si votre PME a un pare-feu Fortinet au bureau ou pour le télétravail, ce texte est pour vous.
Selon l’alerte, les attaquants réutilisent des identifiants volés ou déjà divulgués, créent de nouveaux comptes administrateur sur le pare-feu, puis avancent dans le réseau de la victime. Dans certains cas, ils désactivent ou suppriment les comptes d’origine, ou changent les mots de passe, pour enfermer le propriétaire dehors. Les agences préviennent que la remise en état demande alors plus qu’un correctif et une réinitialisation de mot de passe. Des courtiers d’accès initial revendent ces accès à des affiliés de rançongiciels, dont INC/Lynx et Payload.
L’essentiel en 3 points
- Ce n’est pas une nouvelle faille, précise Fortinet : les attaquants réutilisent des identifiants d’incidents passés et devinent les mots de passe faibles sur des appareils sans authentification multifacteur (MFA).
- SOCRadar, cité par l’alerte, a vérifié plus de 86 644 appareils compromis dans 194 pays. La campagne est mondiale, même si l’alerte est américaine.
- Une mise à jour aide, mais ne chasse pas un attaquant déjà entré : ses comptes, ses clés et ses mots de passe volés restent valides.
Ce que le correctif règle, et ce qu’il ne règle pas
Le réflexe habituel (« on met à jour et c’est réglé ») ne suffit pas ici. Voici, ligne par ligne, ce qu’une mise à jour de votre pare-feu Fortinet change vraiment, et ce qu’il reste à faire.
| Sujet | Ce que le correctif règle | Ce qu’il ne règle pas (à faire vous-même) |
|---|---|---|
| Stockage des mots de passe admin | Les dernières versions 7.4, 7.6 et 8.0 de FortiOS permettent un hachage plus solide (PBKDF2) au lieu de l’ancien SHA-256. | Les anciens hachages faibles restent tant qu’on n’applique pas la consigne de Fortinet pour les retirer. Et un mot de passe déjà craqué reste un mot de passe connu. |
| Mots de passe VPN et admin volés | Rien. | Fermer toutes les sessions admin et VPN actives, puis réinitialiser tous les mots de passe VPN et administrateur. |
| Comptes admin ajoutés par l’attaquant | Rien : ils survivent à la mise à jour. | Passer en revue chaque compte administrateur et VPN, et confirmer qu’il est légitime. |
| Clés API (REST) inconnues | Rien. | Retirer les clés inconnues et renouveler les clés légitimes, comme le recommande l’alerte. |
| Administration ouverte sur Internet | Rien : c’est un choix de configuration. | Restreindre l’accès : hôtes de confiance (bien), politique « local-in » (mieux) ou aucune administration depuis Internet (idéal). |
| VPN protégé par un simple mot de passe | Rien. | Exiger une MFA résistante à l’hameçonnage sur tous les accès à distance et tous les comptes admin. |
| Attaquant déjà dans le réseau | Rien. | Lire les journaux du pare-feu, du VPN et du contrôleur de domaine (Active Directory) pour repérer des déplacements dans le réseau. |
| Propriétaire enfermé dehors | Rien : on ne peut pas mettre à jour un appareil auquel on n’a plus accès. | Traiter l’appareil comme compromis et suivre la procédure de récupération de Fortinet, idéalement avec une sauvegarde de configuration saine. |
Votre FortiGate a été installé il y a quelques années ?
C’est le cas de bien des PME de Laval, de Montréal et de la Rive-Nord : un fournisseur a installé le pare-feu et le VPN, puis plus personne n’y a touché. Première question à poser cette semaine : qui a le mot de passe administrateur, et quand a-t-il été changé pour la dernière fois ?
Signes que votre pare-feu a déjà été visité
D’après l’alerte du FBI et les consignes de Fortinet, voici ce qui doit vous faire lever un sourcil :
- Un compte administrateur ou VPN que personne ne reconnaît. L’alerte cite des noms souvent vus chez les victimes, par exemple fortiAdmin, forticloud-sync, support_fortinet, adminsslvpn ou itadmin. Ils imitent des comptes « officiels » exprès.
- Votre mot de passe admin ne fonctionne plus, ou un compte d’origine a disparu ou a été désactivé.
- Des connexions admin depuis une adresse IP inconnue, ou des connexions VPN depuis des endroits inattendus.
- Des réinitialisations de mot de passe que personne n’a demandées.
- Des changements de configuration que vous n’avez pas approuvés (comparez avec une sauvegarde connue et saine).
- Une clé API dont personne ne connaît l’usage.
- Dans Active Directory : de nouveaux comptes, ou une rafale de connexions ratées sur plusieurs comptes (signe de « password spraying »).
L’alerte fournit aussi une liste d’adresses IP observées entre juin et juillet 2026. Les agences rappellent qu’une adresse peut avoir été réattribuée depuis : vérifiez avant de bloquer. Si vous voyez un de ces signes, ne vous contentez pas de changer le mot de passe : traitez le pare-feu comme compromis. Si le pare-feu est relié à votre Active Directory, considérez aussi ce compte de liaison comme compromis, comme le recommande Fortinet. Notre arbre de décision sur les accès à distance détournés peut vous aider à décider quoi couper en premier.
Votre plan d’action de 30 minutes, par ordre de priorité
À faire avec votre fournisseur informatique ou la personne qui gère le pare-feu. Avant de supprimer quoi que ce soit, faites des captures d’écran : elles serviront si un incident est confirmé.
Minutes 0 à 5 — Fermez la porte d’administration
Vérifiez si la page d’administration du pare-feu est accessible depuis Internet. Si oui, retirez cet accès ou limitez-le à des adresses de confiance.
Minutes 5 à 12 — Faites le ménage des comptes
Listez tous les comptes administrateur et VPN. Notez ceux que personne ne reconnaît, puis désactivez-les. Profitez-en pour fermer les comptes d’anciens employés.
Minutes 12 à 20 — Coupez les sessions et changez les mots de passe
Fermez toutes les sessions admin et VPN actives, puis réinitialisez tous les mots de passe VPN et administrateur (longs, uniques, rangés dans un gestionnaire de mots de passe). Retirez les clés API inconnues.
Minutes 20 à 25 — Activez (ou planifiez) la MFA
MFA sur le VPN et sur chaque compte admin. Si le déploiement prend plus de temps, fixez une date cette semaine.
Minutes 25 à 30 — Version, sauvegarde et journaux
Notez la version de FortiOS, faites une sauvegarde de la configuration (une fois nettoyée) et demandez une revue des journaux du pare-feu et du VPN. La campagne est active depuis au moins février 2026, selon SOCRadar.
Ensuite, cette semaine : passez à la dernière version 7.4, 7.6 ou 8.0, retirez les anciens hachages de mots de passe selon la consigne de Fortinet, et faites vérifier les journaux d’Active Directory. Si des renseignements personnels ont pu être touchés, la Loi 25 prévoit en termes généraux l’évaluation et la consignation des incidents de confidentialité ; parlez-en à un conseiller juridique. Ce texte n’est pas un avis juridique.
Un pare-feu laissé sans suivi fait partie des 5 signes que votre PME est une cible facile.
Comment NeoTech peut vous aider
Pour les PME de Laval, de Montréal et de la Rive-Nord, on peut faire ce plan de 30 minutes avec vous, auditer les comptes de votre pare-feu Fortinet, mettre en place la MFA sur le VPN et garder une sauvegarde de configuration saine. Notre surveillance automatisée 24/7 avec intervention du technicien de garde vous aide à repérer un nouveau compte admin ou une connexion inhabituelle. Voir aussi nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
Vous ne savez pas qui a les clés de votre pare-feu, ni si la MFA est active sur votre VPN ? En une courte rencontre, on fait le tour et on priorise les correctifs.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- FBI et USSS — FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts (JCSA-20261006-01, 6 octobre 2026)
- CyberScoop — Alert: FortiBleed remains active campaign, can lock out users or lead to ransomware attacks (6 octobre 2026)
- Fortinet — Analysis of Reported Credential Compromise of FortiGate Devices (19 juin 2026)
- SOCRadar — FortiBleed: The Campaign That Cracked 86,644 Firewalls
Photo : Brett Sayles (Pexels).
3 thoughts on “FortiBleed : pourquoi le correctif ne suffit pas pour votre pare-feu Fortinet”