香港電腦保安事故協調中心（HKCERT）於2026年10月28日就「FortiBleed 2.0」發出新的安全警報：一批新取得的 FortiGate 防火牆設定資料，包含超過10萬筆帳戶及憑證記錄，部分更是明文。如果貴公司使用 Fortinet FortiGate 防火牆或 FortiGate VPN，HKCERT 呼籲再檢查一次，即使六月首次 FortiBleed 警報後已經檢查過亦然。
事件經過
2026年6月，HKCERT 及美國網絡安全機構 CISA 先後就「FortiBleed」發出警告。事件涉及約7.4萬台 Fortinet 防火牆及 VPN 設備的憑證外洩，遍及超過194個國家，HKCERT 指部分香港機構或受影響。Fortinet 表示這並非新漏洞，相信是攻擊者重用過往事件中外洩的憑證，並以暴力破解方式，針對密碼強度不足、又未啟用多重身份驗證（MFA）的設備下手。
威脅情報公司 Hudson Rock 其後取得一批 FortiGate 設定報告，並把後續調查命名為 FortiBleed 2.0。根據 HKCERT，這批資料：
- 包含超過10萬筆帳戶及憑證記錄；
- 含有本地用戶、Active Directory LDAP 綁定帳戶、管理員登入、高可用性（HA）叢集密鑰及 SMTP（電郵伺服器）憑證的明文記錄；
- 涉及975個早前 FortiBleed 資料集未有出現的域名標籤。
Hudson Rock 的報告則統計出新資料中有40,573筆外洩密鑰記錄。
這是新一輪攻擊嗎？
未必。HKCERT 指大部分檔案的報告日期為2026年2月，早於第一次調查的資料，因此不應理解為新一輪攻擊；這些日期亦不能說明設備實際何時被入侵。HKCERT 同時強調，記錄數目不等於獨立用戶數目、仍然有效的憑證數目，亦不等於已確認受影響的機構數目，部分記錄可能屬於已停用的帳戶或已更改的密碼。
實際意義在於：六月名單上沒有出現的機構，今次有可能榜上有名。
利用 FortiBleed 資料的攻擊亦未停止。美國聯邦調查局（FBI）及美國特勤局於2026年10月6日發出聯合安全公告，指 FortiBleed 相關行動仍在針對暴露的系統，並引述 SOCRadar 核實超過86,644台遍及194個國家的設備已被入侵。公告警告，如攻擊者停用帳戶或更改密碼，受害機構可能被鎖在系統以外；另有初始存取經紀（IAB）把這類入侵權限轉交勒索軟件聯營者。
影響不止於防火牆
防火牆設定檔往往存有防火牆連接其他系統所用的密碼，例如公司目錄（Active Directory）、電郵伺服器、VPN 用戶帳戶等。攻擊者一旦取得設定檔，風險就不限於防火牆本身。HKCERT 列出可能的後續風險（並非指每項均已發生），包括登入 VPN 或管理介面、濫用目錄服務帳戶、修改防火牆規則、橫向移動至其他內部系統，以及植入勒索軟件或後門。
現在應該怎樣做
如果貴公司自行、或由 IT 供應商及託管服務供應商管理 FortiGate 設備：
- 再檢查一次。在 HKCERT 引用的 Hudson Rock 查詢頁面 hudsonrock.com/fortinet 搜尋公司現時及過往使用的域名，並把已更換、已退役或更改了 IP 地址的設備一併計算在內。
- 重設憑證。更改仍在使用的管理員、VPN 及本地用戶密碼，終止現有登入工作階段；如這些密碼曾在其他系統重用，亦要一併更改。
- 更換其他密鑰。檢查 LDAP 綁定帳戶及服務帳戶，更換 HA、RADIUS 及 SMTP 密鑰；HKCERT 亦建議作為額外預防措施，檢視設定中引用的 API 金鑰、第三方支援帳戶、數碼證書及私鑰。
- 啟用 MFA。所有管理員及遠端存取帳戶都應啟用，並確認實際已強制執行。
- 不要把管理介面開放到互聯網。只容許受信任網絡或指定 IP 地址進行管理。
- 檢查帳戶及記錄。把帳戶與核准名單對照，並把現有設定與已知正常的備份比較。Fortinet 提醒留意「forticloud」「fortiuser」「fortinet-support」「fortinet-tech-support」等不明帳戶。
- 更新 FortiOS。Fortinet 建議使用仍受支援的7.4、7.6或8.0版本，這些版本以較安全的 PBKDF2 方式儲存管理員密碼。更新不能抵銷已發生的外洩，以上步驟仍須完成。
- 發現異常要即時處理。隔離相關設備、保存記錄並啟動事故應變程序。如需舉報，可使用 HKCERT 網上表格 https://www.hkcert.org/incident-reporting 或致電24小時熱線 +852 8105 6060。
給中小企的提醒
FortiBleed 說明入侵途徑不一定是軟件漏洞，外洩的密碼同樣可以打開大門。每個系統用獨立密碼、全面啟用 MFA、管理頁面不對外開放、服務帳戶只給最低所需權限（可參考角色權限控制及零信任），都可以在單一密碼外洩時減少損失。
如果不確定公司的防火牆或 VPN 是否受影響，我們的網絡安全及合規團隊可協助檢查；託管支援服務亦可負責日常更新及監察。
常見問題
六月已經檢查過，是否就沒事？
未必。HKCERT 指新資料集涉及975個早前 FortiBleed 資料未有出現的域名標籤，應重新搜尋，包括舊有及已停用的域名。
這是 FortiGate 的新漏洞嗎？
Fortinet 表示 FortiBleed 並非新漏洞，而是攻擊者重用外洩憑證，並以暴力破解針對密碼強度不足、未啟用 MFA 的設備。HKCERT 亦指 FortiBleed 2.0 大部分檔案的日期為2026年2月。
查詢頁面找不到我們的域名，還需要處理嗎？
需要。HKCERT 呼籲所有使用 Fortinet 防火牆、VPN 或相關設備的機構重新評估風險；啟用 MFA、不把管理介面開放到互聯網及更新 FortiOS 等措施，無論結果如何都值得做。
資料來源
- HKCERT〈安全警報 - FortiBleed 2.0 揭示更多 FortiGate 設定資料及帳戶憑證外洩〉，2026年10月28日
- HKCERT〈安全警報 - FortiBleed 憑證外洩事故：逾 7 萬台 Fortinet 裝置疑涉資料外洩及憑證外流，香港機構或受影響〉，2026年6月18日
- CISA〈CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure〉，2026年6月18日（6月22日更新）
- Fortinet PSIRT 網誌〈Analysis of Reported Credential Compromise of FortiGate Devices〉，2026年6月19日
- Hudson Rock（InfoStealers）〈FortiBleed 2.0: 975 New Domains & 40,573 Exposed Secrets – Claim Your Ethical Disclosure〉
- 美國聯邦調查局及美國特勤局聯合安全公告〈FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts〉，2026年10月6日