香港计算机保安事故协调中心（HKCERT）于2026年10月28日就“FortiBleed 2.0”发出新的安全警报：一批新获取的 FortiGate 防火墙配置数据，包含超过10万条账户和凭证记录，其中部分为明文。如果你的公司在用 Fortinet FortiGate 防火墙或 FortiGate VPN，HKCERT 建议重新检查一次，即使6月首次 FortiBleed 警报后已经查过。
事件经过
2026年6月，HKCERT 和美国网络安全机构 CISA 先后就“FortiBleed”发出警告。事件涉及约7.4万台 Fortinet 防火墙和 VPN 设备的凭证泄露，覆盖超过194个国家，HKCERT 表示部分香港机构可能受影响。Fortinet 称这不是新漏洞，认为是攻击者重复使用以往事件中泄露的凭证，并用暴力破解的方式，针对密码强度弱、又没有启用多重身份验证（MFA）的设备。
威胁情报公司 Hudson Rock 随后获得一批 FortiGate 配置报告，并将后续调查命名为 FortiBleed 2.0。根据 HKCERT，这批数据：
- 包含超过10万条账户和凭证记录；
- 含有本地用户、Active Directory LDAP 绑定账户、管理员登录、高可用（HA）集群密钥以及 SMTP（邮件服务器）凭证的明文记录；
- 涉及975个此前 FortiBleed 数据集中没有出现的域名标签。
Hudson Rock 的报告统计，新数据中有40,573条泄露的密钥记录。
这是新一轮攻击吗？
不一定。HKCERT 指出，大部分文件的报告日期是2026年2月，早于第一次调查的数据，因此不应理解为新一轮攻击；这些日期也不能说明设备实际在何时被入侵。HKCERT 还强调，记录数量不等于独立用户数量、仍然有效的凭证数量，也不等于已确认受影响的机构数量，部分记录可能属于已停用的账户或已修改的密码。
实际影响在于：6月名单里没有出现的机构，这次有可能出现在名单中。
利用 FortiBleed 数据的攻击也没有停止。美国联邦调查局（FBI）和美国特勤局于2026年10月6日发布联合安全公告，称 FortiBleed 相关行动仍在针对暴露的系统，并援引 SOCRadar 核实的数据：超过86,644台设备已被入侵，遍及194个国家。公告警告，如果攻击者停用账户或修改密码，受害者可能被锁在系统之外；另有初始访问经纪人（IAB）把这类访问权限转交给勒索软件附属组织。
影响不止防火墙本身
防火墙配置文件通常保存着防火墙连接其他系统所用的密码，例如公司目录（Active Directory）、邮件服务器、VPN 用户账户等。攻击者一旦拿到配置文件，风险就不限于防火墙。HKCERT 列出了可能的后续风险（并非指每一项都已发生），包括登录 VPN 或管理界面、滥用目录服务账户、修改防火墙规则、横向移动到其他内部系统，以及植入勒索软件或后门。
现在该怎么做
如果你的公司自己、或由 IT 服务商和托管服务商管理 FortiGate 设备：
- 重新检查。在 HKCERT 引用的 Hudson Rock 查询页面 hudsonrock.com/fortinet 搜索公司现在和过去使用的域名，已更换、已退役或更改过 IP 地址的设备也要算在内。
- 重置凭证。修改仍在使用的管理员、VPN 和本地用户密码，结束现有登录会话；如果这些密码在其他系统上重复使用过，也要一并修改。
- 更换其他密钥。检查 LDAP 绑定账户和服务账户，更换 HA、RADIUS 和 SMTP 密钥；HKCERT 还建议作为额外预防措施，检查配置中引用的 API 密钥、第三方支持账户、数字证书和私钥。
- 启用 MFA。所有管理员和远程访问账户都应启用，并确认确实已强制执行。
- 不要把管理界面暴露在互联网上。只允许受信任网络或指定 IP 地址进行管理。
- 核查账户和日志。将账户与审批名单对照，把当前配置与已知正常的备份比较。Fortinet 提醒留意“forticloud”“fortiuser”“fortinet-support”“fortinet-tech-support”等不明账户。
- 升级 FortiOS。Fortinet 建议使用仍受支持的7.4、7.6或8.0版本，这些版本用更安全的 PBKDF2 方式存储管理员密码。升级并不能消除已经发生的泄露，上述步骤仍要完成。
- 发现异常立即处理。隔离相关设备、保留日志并启动事件响应流程。如需报告事件，可使用 HKCERT 在线表格 https://www.hkcert.org/incident-reporting 或拨打24小时热线 +852 8105 6060。
给中小企业的提醒
FortiBleed 说明，入侵不一定来自软件漏洞，泄露的密码同样能打开大门。每个系统使用独立密码、全面启用 MFA、管理页面不对外开放、服务账户只给最低必要权限（可参考基于角色的访问控制和零信任），都能在某个密码泄露时减少损失。
如果不确定公司的防火墙或 VPN 是否受影响，我们的网络安全与合规团队可以协助检查；托管支持服务也可以负责日常更新和监控。
常见问题
6月已经检查过，是不是就没事了？
不一定。HKCERT 指出，新数据集涉及975个此前 FortiBleed 数据中没有出现的域名标签，应重新搜索，包括旧的和已停用的域名。
这是 FortiGate 的新漏洞吗？
Fortinet 称 FortiBleed 不是新漏洞，而是攻击者重复使用泄露的凭证，并用暴力破解针对密码强度弱、未启用 MFA 的设备。HKCERT 还指出，FortiBleed 2.0 大部分文件的日期是2026年2月。
查询页面上找不到我们的域名，还需要处理吗？
需要。HKCERT 呼吁所有使用 Fortinet 防火墙、VPN 或相关设备的机构重新评估风险；启用 MFA、不把管理界面暴露在互联网上、升级 FortiOS 等措施，无论查询结果如何都值得去做。
信息来源
- HKCERT“Security Alert - FortiBleed 2.0 Reveals Additional FortiGate Configuration and Credential Exposure”，2026年10月28日
- HKCERT“Security Alert - FortiBleed Credential Leak Incident: Over 70,000 Fortinet Devices Suspected to Be Affected by Data and Credential Exposure, Hong Kong Organisations May Be Affected”，2026年6月18日
- CISA“CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure”，2026年6月18日（6月22日更新）
- Fortinet PSIRT 博客“Analysis of Reported Credential Compromise of FortiGate Devices”，2026年6月19日
- Hudson Rock（InfoStealers）“FortiBleed 2.0: 975 New Domains & 40,573 Exposed Secrets – Claim Your Ethical Disclosure”
- 美国联邦调查局和美国特勤局联合安全公告“FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts”，2026年10月6日