La investigación FortiBleed 2.0, publicada el 27 de octubre, reveló la exposición de 40,573 registros de secretos en texto claro dentro de configuraciones de FortiGate. Esto incluye 37,076 contraseñas de usuarios locales y 1,576 registros de enlace LDAP de Active Directory que conectan el acceso al firewall, los servicios de VPN y los sistemas de identidad internos. Los investigadores analizaron 1,703 archivos de informes de configuración que contenían más de 100,000 registros de credenciales y cuentas.

La investigación de FortiBleed 2.0, publicada el 27 de octubre, reveló 40.573 registros de secretos en texto plano en configuraciones expuestas de FortiGate, incluyendo 37.076 contraseñas de usuarios locales y 1.576 registros de enlace LDAP de Active Directory que vinculan el acceso al firewall, los servicios de VPN y los sistemas de identidad internos.

Los investigadores examinaron 1.703 archivos de informes de configuración que contenían 101.419 registros de credenciales y cuentas asociados con 1.689 identificadores de host.

El material también incluye inicios de sesión de administradores, contraseñas de servidores de correo electrónico y secretos de clústeres de alta disponibilidad. Estas cifras reflejan registros, no usuarios únicos, dispositivos físicos confirmados o credenciales que sigan funcionando hoy en día.

A pesar de su nombre, FortiBleed 2.0 es una investigación de seguimiento basada en archivos obtenidos recientemente, no una vulnerabilidad recién revelada. La mayoría de los archivos tienen fecha del 20 de febrero de 2026, mientras que 31 no tienen fecha, por lo que el momento del acceso inicial y el robo de la configuración no están confirmados.

FortiBleed 2.0 expone credenciales de VPN y AD de Fortinet

En comparación con el primer conjunto de datos, los investigadores identificaron 924 identificadores de host adicionales y 975 etiquetas de dominio que no estaban presentes en la colección anterior.

Sin embargo, las etiquetas de dominio pueden pertenecer a proveedores de servicios, contactos de registro o titulares de cuentas. No deben interpretarse como 975 empresas recién comprometidas. Los hallazgos amplían la cobertura de exposición de credenciales de FortiBleed anterior al revelar cuentas y servicios detrás de los inicios de sesión perimetrales.

La cadena de herramientas asociada extrae configuraciones de firewall, recupera secretos almacenados e intenta obtener más accesos. Su flujo de trabajo de análisis recopila usuarios locales, entradas de administradores, conexiones LDAP, configuraciones de clúster y credenciales de correo electrónico.

Algunos valores ENC de FortiOS almacenados pueden recuperarse fuera de línea cuando las configuraciones utilizan la clave de cifrado predeterminada del sistema. La recuperación depende de la versión del software, la configuración y el material disponible.

Las contraseñas de usuarios locales expuestas pueden permitir el acceso a la VPN, pero el estado de la cuenta, las reglas de acceso, la conectividad y la autenticación multifactor determinarán si el inicio de sesión tiene éxito.

El análisis de Hudson Rock identificó 7.437 registros de usuarios locales desactivados que contenían datos en texto plano. Los campos de MFA vacíos no indican necesariamente la falta de MFA, ya que los sistemas de autenticación externos pueden imponerlo.

Las credenciales de enlace LDAP merecen una atención cercana porque conectan los dispositivos FortiGate con los servicios de directorio. Una cuenta con derechos excesivos podría aumentar el impacto de una brecha.

Sin embargo, el acceso ordinario a consultas LDAP no otorga automáticamente privilegios de administrador de dominio. Informes anteriores sobre el robo de configuraciones de FortiGate resaltan esta ruta hacia el acceso interno.

La guía de respuesta de Fortinet recomienda terminar las sesiones de administrador y de VPN, restablecer las credenciales, imponer el MFA, actualizar el firmware y restringir el acceso de gestión.

Tus equipos de seguridad deberían comparar la configuración actual con una configuración confiable y examinar los registros del firewall y del controlador de dominio en busca de actividad inesperada. Los hallazgos de configuración también exigen revisar las contraseñas de enlace LDAP, los secretos del clúster y las credenciales del servidor de correo electrónico.

Los investigadores deben verificar la propiedad de las cuentas de administrador recurrentes, como fgtsecure y forticloud-sync, antes de tratarlas como no autorizadas. Los nombres de las cuentas por sí solos no establecen una actividad maliciosa.