Przez lukę w logowaniu FortiCloud SSO posiadacz dowolnego konta Fortinet mógł wejść jako administrator na cudze zapory i urządzenia. CISA potwierdza ataki. Wyłącz SSO lub zaktualizuj i sprawdź konta administratorów.
Ten alert jest dla zarządu, CTO i CFO firm, które mają zapory FortiGate lub inne urządzenia Fortinet (FortiManager, FortiAnalyzer, FortiProxy, FortiWeb, FortiNAC-F), a także przemysłowe Siemens RUGGEDCOM APE1808. Werdykt: jeśli na urządzeniu włączone jest logowanie FortiCloud SSO, wyłącz je lub zaktualizuj urządzenie dziś i przejrzyj konta administratorów, bo luka pozwalała obcym przejmować firmowe zapory i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 27 stycznia 2026 roku dopisała podatność CVE-2026-24858 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy logowania do urządzeń Fortinet kontem z chmury producenta (FortiCloud SSO). Napastnik z własnym, darmowym kontem FortiCloud i zarejestrowanym urządzeniem mógł zalogować się jako administrator na urządzenia zarejestrowane na kontach zupełnie innych firm.
CISA dała agencjom federalnym tylko trzy dni na naprawę, do 30 stycznia 2026 roku. Fortinet zaobserwował włamania nawet na urządzenia w pełni zaktualizowane w tamtym momencie, dlatego 26 stycznia 2026 roku wyłączył logowanie FortiCloud SSO wszystkim klientom naraz. Po włamaniu napastnicy prawie zawsze zakładali lokalne konto administratora, które działa dalej także po aktualizacji.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-24858 |
Data dodania do CISA KEV | 2026-01-27 |
Termin naprawy wg CISA | 2026-01-30 (3 dni od wpisu) |
Produkt | Fortinet FortiOS (zapory FortiGate), FortiManager, FortiAnalyzer, FortiProxy, FortiWeb, FortiNAC-F; także Siemens RUGGEDCOM APE1808 z oprogramowaniem Fortinet |
Wersje zagrożone | FortiOS 7.0.0 do 7.0.18, 7.2.0 do 7.2.12, 7.4.0 do 7.4.10, 7.6.0 do 7.6.5. FortiManager i FortiAnalyzer 7.0.0 do 7.0.15, 7.2.0 do 7.2.11, 7.4.0 do 7.4.9, 7.6.0 do 7.6.5. FortiProxy 7.0.0 do 7.0.22, 7.2.0 do 7.2.15, 7.4.0 do 7.4.12, 7.6.0 do 7.6.4. FortiWeb 7.4.0 do 7.4.11, 7.6.0 do 7.6.6, 8.0.0 do 8.0.3. FortiNAC-F 7.6.3 do 7.6.5. Warunek: włączone logowanie FortiCloud SSO |
Wersje bezpieczne | Wg NVD: FortiOS 7.4.11 i 7.6.6; FortiManager i FortiAnalyzer 7.4.10 i 7.6.6; FortiNAC-F 7.6.6. Dla RUGGEDCOM APE1808 CISA wskazuje zaporę w wersji 7.4.11 lub nowszej. Dla pozostałych gałęzi i produktów wersje z poprawką podaje biuletyn producenta FG-IR-26-060 |
Typ podatności | Obejście uwierzytelnienia alternatywną ścieżką; CWE-288 |
Ocena CVSS | Fortinet: 9.8 (CVSS 3.1, KRYTYCZNA). Baza europejska ENISA: 9.4 z uwzględnieniem metryk czasowych. Atak przez sieć; w praktyce napastnik potrzebuje własnego konta FortiCloud i zarejestrowanego urządzenia, co jest dostępne dla każdego |
Luka nie dotyczy logowania przez zewnętrznych dostawców tożsamości (SAML) ani przez FortiAuthenticator, co Fortinet potwierdził 28 stycznia 2026 roku.
Wyobraź sobie firmę ochroniarską, która wydaje klientom karty wejściowe do ich budynków. Dla wygody jedna karta z centrali otwiera wszystkie budynki danego klienta. Błąd polegał na tym, że czytnik przy drzwiach sprawdzał tylko, czy karta jest prawdziwą kartą tej firmy ochroniarskiej, a nie czy należy do właściciela tego budynku. Każdy, kto kupił najtańszą usługę i dostał własną kartę, mógł otworzyć drzwi cudzych biur.
Tak działało logowanie FortiCloud SSO. Konto w chmurze producenta miało otwierać tylko urządzenia swojej firmy, a otwierało także urządzenia innych firm z włączoną tą funkcją. Zapora to nie jest zwykłe urządzenie: przez nią przechodzi cały ruch firmy, na niej kończą się połączenia VPN pracowników i w niej zapisane są reguły dostępu do sieci wewnętrznej.
💡 FortiGate to zapora sieciowa (firewall) Fortinet działająca na systemie FortiOS. FortiCloud to chmura producenta, w której rejestruje się urządzenia. SSO (Single Sign-On) to pojedyncze logowanie jednym kontem do wielu systemów. Polityka local-in to reguła na urządzeniu Fortinet ograniczająca, skąd można łączyć się z jego panelem. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator firmy loguje się kontem FortiCloud | Otwiera tylko urządzenia swojej firmy | Tak samo |
Obcy z własnym kontem FortiCloud próbuje zalogować się na Twoją zaporę | Odmowa | Może wejść z uprawnieniami administratora |
Aktualizacja urządzenia do najnowszej wersji | Zamyka znane luki | W styczniu 2026 roku nie chroniła przed tym atakiem |
Konta administratorów na zaporze | Tylko znani pracownicy lub partner IT | Mogą pojawić się konta audit, backup, itadmin, secadmin, support |
Reguły dostępu i VPN | Ustalone przez firmę | Napastnik może je zmienić lub podejrzeć ruch |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dopasowany do tego, co opisał Fortinet. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako aktywny, w pełni automatyzowalny i prowadzący do całkowitego przejęcia urządzenia.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 min | Założenie konta FortiCloud i rejestracja własnego urządzenia | Legalne narzędzie do ataku |
2. Wyszukanie celów | T+kilkanaście minut | Wyszukiwanie w internecie paneli urządzeń Fortinet z włączonym logowaniem FortiCloud SSO | Lista zapór do przejęcia |
3. Logowanie | T+kilka minut na urządzenie | Logowanie przez SSO na cudze urządzenie (Fortinet widział m.in. konta cloud-noc@mail.io i cloud-init@mail.io) | Uprawnienia administratora na zaporze |
4. Utrwalenie | T+kilka minut | Założenie lokalnego konta administratora o nazwie audit, backup, itadmin, secadmin lub support | Dostęp działa nawet po wyłączeniu SSO i aktualizacji |
5. Wykorzystanie | T+godziny do dni | Pobranie konfiguracji, zmiana reguł, konta VPN, podgląd ruchu | Wejście do sieci firmy |
6. Dalszy atak | T+dni do tygodni | Kradzież danych, przygotowanie szyfrowania lub sprzedaż dostępu | Wyciek lub przestój |
Mogę Ci jakoś pomóc?
Zapora to brama, przez którą przechodzi cały ruch firmy. Obcy administrator na tej bramie może otworzyć drogę do sieci, podsłuchiwać ruch i założyć sobie trwały dostęp. Najgroźniejsze jest poczucie bezpieczeństwa po samej aktualizacji, gdy konto napastnika nadal istnieje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zmienione reguły, przerwy w VPN i dostępie do internetu, konieczność odbudowy konfiguracji | Godziny do dni | 30 tys. do 300 tys. PLN (przestój, odbudowa, praca zespołu) |
Bezpieczeństwo danych | Podgląd ruchu, wyciek konfiguracji i danych z sieci wewnętrznej | Dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, możliwy okup przy dalszym ataku, wymiana haseł i certyfikatów | Tygodnie | 50 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania ubezpieczyciela | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzeń Fortinet w podatnej wersji
Wpływ
5 | . . . . ■ ← KRYTYCZNE (FortiCloud SSO włączone)
4 | . . . . .
3 | . . . . .
2 | . □ . . . ← NISKIE (SSO nigdy nie włączone)
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy włączonym FortiCloud SSO ryzyko jest krytyczne (masowe, automatyzowalne ataki, przejęcie zapory); urządzenie, na którym SSO nigdy nie było włączone, nie spełnia warunku ataku, ale trzeba to sprawdzić, a nie zakładać, i nadal przejrzeć konta administratorów.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie urządzenia Fortinet (także w sprzęcie Siemens RUGGEDCOM APE1808) i ich wersje | Dziś | Administrator sieci / partner IT |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy włączone jest logowanie FortiCloud SSO, i wyłączyć je, jeśli urządzenie nie ma poprawki | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Przejrzeć listę kont administratorów i usunąć każde bez znanego właściciela, zwłaszcza audit, backup, itadmin, secadmin, support | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Przeszukać dzienniki pod kątem logowań SSO z kont cloud-noc@mail.io, cloud-init@mail.io i adresów 104.28.244.115, 104.28.212.114, 37.1.209.19, 217.119.139.50 | Do 2 dni | Administrator / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zaktualizować urządzenia do wersji z poprawką wskazanej w biuletynie FG-IR-26-060 | Do 7 dni | Administrator / partner Fortinet |
6 | 🟠 PILNIE | Ograniczyć dostęp do paneli administracyjnych polityką local-in do zaufanych adresów | Do 7 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Jeśli znaleziono ślady włamania: zmienić hasła administratorów i kont VPN, sprawdzić reguły i konfigurację, rozważyć odtworzenie z zaufanej kopii | Do 14 dni | CTO / zespół bezpieczeństwa |
Wyłączenie logowania FortiCloud SSO w FortiOS z wiersza poleceń (zalecenie producenta):
config system global
set admin-forticloud-sso-login disable
end Fortinet wydał poprawki i 30 stycznia 2026 roku uzupełnił biuletyn o ostatnie wydania, a od 27 stycznia 2026 roku chmura nie obsługuje logowania SSO z podatnych urządzeń. Do czasu aktualizacji producent zaleca poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie logowania FortiCloud SSO (zalecenie producenta) | Wysoka: usuwa warunek ataku | Łatwa, administratorzy logują się kontami lokalnymi |
Polityka local-in: panel administracyjny dostępny tylko z zaufanych adresów (zalecenie producenta) | Wysoka wobec ataków z internetu | Średnia |
Przegląd kont administratorów i dzienników pod kątem wskaźników z komunikatu Fortinet | Nie zapobiega, ale wykrywa i usuwa skutki włamania | Łatwa |
Dostęp do zarządzania urządzeniem poza siecią produkcyjną (out-of-band) | Wysoka | Trudna w małej firmie |
Mogę Ci jakoś pomóc?
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Logowanie do zapory | Możliwe cudzym kontem FortiCloud | Tylko konta firmy, SSO wyłączone lub urządzenie z poprawką |
Konta administratorów | Mogą istnieć konta napastnika | Każde konto ma znanego właściciela |
Panel administracyjny | Dostępny z całego internetu | Tylko z zaufanych adresów |
Wiedza o włamaniu | Brak | Dzienniki przeszukane pod kątem wskaźników Fortinet |
Zgodność z terminem CISA | Zaległość od 30 stycznia 2026 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i Fortinet). Włamania obserwowano także na urządzeniach zaktualizowanych w tamtym momencie |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; Fortinet podał konta, adresy IP i nazwy kont zakładanych przez napastnika |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg Fortinet (CVSS 3.1); 9.4 wg ENISA z metrykami czasowymi |
PoC dostępny publicznie? | Brak publicznych informacji o kodzie; ENISA w metrykach czasowych ocenia sposób wykorzystania jako dojrzały |
Liczba atakowanych firm | Brak publicznych informacji; Fortinet pisał o „niewielkiej liczbie klientów” zgłaszających nietypowe logowania |
Prognoza EPSS | Około 0,86, najwyższy promil wszystkich znanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-24858
CVSS 3.1 (Fortinet) 9.8/10 ███████████████████░ KRYTYCZNA
CVSS (ENISA, czasowa) 9.4/10 ███████████████████░ KRYTYCZNA
EPSS ~86% █████████████████░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-01-22 Fortinet publikuje analizę nadużyć SSO i wskaźniki włamania
2026-01-23 Fortinet wyłącza nadużywane konta FortiCloud
2026-01-26 Fortinet wyłącza logowanie FortiCloud SSO dla wszystkich
2026-01-27 Biuletyn FG-IR-26-060, przywrócenie SSO bez podatnych
urządzeń; publikacja CVE w NVD; CISA dodaje lukę do KEV
2026-01-28 Potwierdzenie: SAML innych dostawców i FortiAuthenticator
nie są objęte luką
2026-01-30 Uzupełnienie biuletynu o ostatnie wydania; termin CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 8 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami: fortiguard.fortinet.com/psirt/FG-IR-26-060 . Analiza Fortinet ze wskaźnikami włamania: fortinet.com: Analysis of SSO abuse on FortiOS . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-24858 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, jakie urządzenia Fortinet ma firma, także ukryte w sprzęcie innych marek | CTO | DZISIAJ |
2 | Uzyskać pisemną informację: wersja każdego urządzenia i stan logowania FortiCloud SSO | CTO | DZISIAJ |
3 | Zatwierdzić wyłączenie FortiCloud SSO do czasu aktualizacji | CTO | DZISIAJ |
4 | Zlecić przegląd kont administratorów i dzienników pod kątem wskaźników Fortinet | CTO | DO JUTRA |
5 | Zatwierdzić okno serwisowe na aktualizację zapór | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa z partnerem IT określa, kto i jak szybko reaguje na krytyczne luki w zaporach | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie urządzenia Fortinet mamy i w jakich wersjach? | [lista i wersje] | 🔴 |
2 | Czy na którymkolwiek z nich jest lub było włączone logowanie FortiCloud SSO? | TAK / NIE | 🔴 |
3 | Czy na urządzeniach są konta administratorów bez znanego właściciela? | TAK / NIE | 🔴 |
4 | Czy dzienniki zawierają logowania z kont lub adresów wskazanych przez Fortinet? | TAK / NIE | 🔴 |
5 | Kiedy urządzenia zaktualizowano do wersji z poprawką? | [data] | 🟠 |
6 | Czy panele administracyjne są dostępne z całego internetu? | TAK / NIE | 🟠 |
7 | Czy mamy sprzęt innych marek z oprogramowaniem Fortinet w środku (np. RUGGEDCOM APE1808)? | TAK / NIE | 🟡 |
CVE-2026-24858 pozwalała posiadaczowi dowolnego konta FortiCloud logować się jako administrator na cudze urządzenia Fortinet z włączonym logowaniem FortiCloud SSO. CISA i Fortinet potwierdzają ataki, a napastnicy zostawiali lokalne konta administratorów, więc wyłączenie SSO lub aktualizacja oraz przegląd kont i dzienników to zadania na dziś, a nie tylko sama aktualizacja.
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.
