Kritieke kwetsbaarheden in Fortinet worden actief misbruikt in lopende aanvallen.

Het inlichtingenbureau Defused Cyber waarschuwt dat cybercriminelen actief misbruik maken van diverse ernstige beveiligingslekken in Fortinet FortiSandbox.

In één berichten op X Het bedrijf verklaarde dat het de afgelopen 24 uur aanvallen heeft waargenomen die gebruikmaken van de kwetsbaarheden. CVE-2026-39813, CVE-2026-39808 en CVE-2026-25089.

CVE-2026-39813, met een CVSS-score van 9,1, is een path traversal-kwetsbaarheid in FortiSandbox JRPC API. Het beveiligingslek zou een niet-geauthenticeerde aanvaller in staat kunnen stellen de authenticatie te omzeilen door middel van speciaal geconstrueerde HTTP-verzoeken.

De tweede kwetsbaarheid, CVE-2026-39808, die ook een CVSS-score van 9,1, Het betreft een command-injectiekwetsbaarheid in het besturingssysteem. Deze kwetsbaarheid zou een niet-geauthenticeerde aanvaller in staat kunnen stellen om willekeurige code of commando's uit te voeren via speciaal geconstrueerde HTTP-verzoeken. Beide kwetsbaarheden zijn in april 2026 door Fortinet verholpen.

De derde kwetsbaarheid, CVE-2026-25089, werd vorige week voor het eerst gepatcht. Fortinet beschrijft het als een commandinjectie die van invloed is op FortiSandbox, FortiSandbox Cloud en FortiSandbox PaaS Web UI. Het beveiligingslek zou een niet-geauthenticeerde aanvaller in staat kunnen stellen om ongeautoriseerde commando's uit te voeren via speciaal geconstrueerde HTTP-verzoeken.

Volgens Defused Cyber zijn er aanwijzingen dat het proof-of-conceptmateriaal dat rondgaat, niet klopt. CVE-2026-25089 Het materiaal is deels gegenereerd met behulp van kunstmatige intelligentie. Het bedrijf is van mening dat het materiaal onnauwkeurigheden bevat en wijst erop dat er nog geen werkende exploit is gepubliceerd.

Fortinet blijft een aantrekkelijk doelwit.

Kwetsbaarheden in Fortinet beveiligingsproducten zijn de afgelopen jaren steeds vaker het doelwit geworden van cybercriminele groeperingen.

In april 2026 bracht Fortinet noodbeveiligingsupdates uit voor de kritieke kwetsbaarheid. CVE-2026-35616 in FortiClient EMS. Het bedrijf bevestigde vervolgens dat de kwetsbaarheid al werd misbruikt bij daadwerkelijke aanvallen.

FortiBleed zou naar verluidt meer dan 30.000 firewalls hebben gehackt.

Ondertussen meldt het cybersecuritybedrijf SOCRadar dat vermoedelijke Russischsprekende cybercriminelen meer dan 30.000 Fortinet-firewalls hebben gecompromitteerd in een grootschalige wereldwijde campagne.

De ontdekking werd gedaan nadat onderzoekers een actieve server hadden geïdentificeerd die aan de operatie was gekoppeld.

Volgens SOCRadar De database van de aanvallers bevat inloggegevens voor meer dan 30.791 apparaten van bedrijven, overheden en organisaties in 194 landen.

Het bedrijf omschrijft de gegevens als geverifieerde en werkende gebruikersnamen en wachtwoorden die zijn getest en bevestigd door geautomatiseerde tools die continu draaien.

Onder de getroffen organisaties bevinden zich banken, telecomaanbieders, ziekenhuizen, universiteiten, overheidsinstanties, energiebedrijven en multinationale ondernemingen.

De tien zwaarst getroffen landen omvat India, de VS, Mexico, Colombia, Thailand, Taiwan, Indonesië, Maleisië, Singapore en Frankrijk. India Volgens het rapport vertegenwoordigt dit ongeveer 60 procent van alle Fortinet-installaties in de publieke sector die met internet verbonden zijn.

Tweestapsmethode voor het uitbreiden van de intrusie

SOCRadar stelt dat de aanvallers een tweestapsmethode gebruiken.

Eerst worden eerder uitgelekte exemplaren getest. Fortinet-wachtwoord tegen apparaten die via internet bereikbaar zijn. Volgens het bedrijf hebben veel organisaties na eerdere datalekken hun wachtwoorden nooit gewijzigd.

Zodra aanvallers toegang hebben tot een apparaat, monitoren ze passief het netwerkverkeer om aanvullende inloggegevens te verzamelen die door het systeem gaan. Deze gegevens gebruiken ze vervolgens om meer apparaten te compromitteren en hun activiteiten uit te breiden.

Hudson Rock: Bijna 74.000 firewall-URL's zijn aangevallen.

In een vervolganalyse die op 17 juni 2026 werd gepubliceerd, stelt cybersecuritybedrijf Hudson Rock dat de zogenaamde De FortiBleed-campagne heeft 73.932 unieke firewall-URL's in 194 landen als doelwit gekozen.

Volgens het bedrijf heeft de campagne geleid tot 21.632 unieke getroffen domeinen.

De activiteit werd voor het eerst opgemerkt door de beveiligingsonderzoeker. Volodymyr “Bob” Diachenko in een bericht op LinkedIn van vorige week.

Volgens Diachenko Het betreft een Russischsprekende groep met meerdere operators die wereldwijd op grote schaal authenticatiegegevens verzamelt van Fortinet FortiGate SSL VPN-apparaten.

De operatie zou naar verluidt ongeveer 1,16 miljard authenticatiepogingen hebben ondernomen tegen 320.777 FortiGate-doelen en nog eens 2,1 miljard pogingen tegen 163.650 Microsoft SQL-servers.

Onderschept VPN-verkeer en valt Active Directory aan.

De onderzoekers schatten in dat de activiteiten van de groep veel verder reiken dan het traditionele verzamelen van gebruikersnamen en wachtwoorden.

Volgens de analyse onderscheppen de aanvallers SSL VPN-authenticatie, kraken ze hashwaarden met behulp van een cluster van 45 GPU's die via Hashtopolis worden beheerd, en dringen ze vervolgens door in interne Active Directory-omgevingen om langdurige toegang te verkrijgen.

Er bestaat ook het vermoeden dat de aanvallers systematisch internettoegankelijke Fortinet-installaties scannen met behulp van bekende wachtwoordlijsten en alle succesvolle inlogpogingen registreren.

Gecompromitteerde apparaten worden vervolgens gebruikt als afluisterpunten om aanvullende inloggegevens te onderscheppen, wat volgens de onderzoekers een continue keten van ongeautoriseerde toegang creëert.

Hudson Rock Er wordt met name gewaarschuwd dat zelfs zeer complexe wachtwoorden nutteloos kunnen worden als ze in platte tekst worden weergegeven.

“"De complexiteit wordt volledig geneutraliseerd wanneer wachtwoorden in platte tekst worden gereset. Als aanvallers bekende inloggegevens kunnen hergebruiken om de beveiligingsperimeter te omzeilen, biedt het wachtwoordbeleid zelf geen enkele bescherming", aldus het bedrijf.