FortiOS szyfrował hasła w kopii konfiguracji kluczem wspólnym dla wszystkich urządzeń. CISA potwierdza użycie tej luki w atakach ransomware. Zaktualizuj FortiOS, odszukaj kopie konfiguracji i wymień hasła kont VPN.
Ten alert jest dla zarządu, CTO i CFO firm, które mają zapory Fortinet FortiGate z systemem FortiOS. Werdykt: jeśli FortiOS jest starszy niż wydania z poprawką, zaktualizuj go, a niezależnie od wersji odszukaj wszystkie kopie konfiguracji zapory i wymień hasła kont zdalnego dostępu, bo hasła w tych plikach dało się odszyfrować kluczem znanym publicznie, a luka jest używana w atakach ransomware.
Amerykańska agencja CISA 25 czerwca 2025 roku dopisała CVE-2019-6693 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd z 2019 roku: FortiOS szyfrował wrażliwe dane w pliku kopii zapasowej konfiguracji kluczem zaszytym na stałe, identycznym we wszystkich urządzeniach. Kto ma plik i zna klucz, odczyta hasła użytkowników (poza hasłem administratora), hasła do kluczy prywatnych i hasło mechanizmu wysokiej dostępności (HA).
Luka sama nie otwiera zapory, ale zamienia każdą kopię konfiguracji w listę haseł. CISA oznaczyła ją jako używaną w kampaniach ransomware. Termin CISA minął 16 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2019-6693 (biuletyn Fortinet FG-IR-19-007) |
Data dodania do CISA KEV | 2025-06-25 |
Termin naprawy wg CISA | 2025-07-16 (21 dni od wpisu) |
Produkt | Fortinet FortiOS (system zapór FortiGate), plik kopii zapasowej konfiguracji |
Wersje zagrożone | Według NVD: do 5.6.10 włącznie, od 6.0.0 do 6.0.6 włącznie oraz 6.2.0. Europejska baza ENISA podaje węższy zakres (5.6.9 i niższe, 6.0.5 i niższe); przyjmij szerszy. Warunek: dostęp do pliku kopii konfiguracji |
Wersje bezpieczne | Według zakresów NVD pierwsze niepodatne wydania to 6.0.7 i 6.2.1; dla gałęzi 5.6 NVD nie wskazuje wersji niepodatnej, więc potrzebne jest przejście na nowszą gałąź. Szczegółowych zaleceń z biuletynu FG-IR-19-007 nie udało się zweryfikować (strona niedostępna do pobrania). Docelowo: aktualna wspierana wersja FortiOS |
Typ podatności | Użycie zaszytego na stałe klucza kryptograficznego; CWE-798 |
Ocena CVSS | 6.5 ŚREDNIA (CVSS 3.1), identycznie wg NVD i CISA. Atak przez sieć, niska złożoność, wymagane niskie uprawnienia, wpływ tylko na poufność. NVD (CVSS 2.0): 4.0 |
Wyobraź sobie producenta sejfów, który każdy egzemplarz wyposaża w zamek otwierany tym samym kluczem i opisuje ten klucz w dokumentacji. Sejf jest zamknięty, więc wszyscy trzymają w nim hasła i nikt nie martwi się, gdzie sejf stoi. Do momentu, gdy ktoś przeczyta dokumentację.
Plik kopii zapasowej konfiguracji FortiGate to taki sejf. Zapora zapisuje w nim hasła w zaszyfrowanej postaci, ale kluczem wspólnym dla wszystkich urządzeń. Tymczasem takie pliki krążą swobodnie: w mailach do zewnętrznego informatyka, na dyskach sieciowych, na pendrive'ach. Hasła użytkowników zapory to zwykle hasła do zdalnego dostępu (VPN) handlowców, księgowej czy serwisanta, a ludzie często używają ich także w innych systemach.
💡 FortiGate to zapora sieciowa Fortinet, a FortiOS jej system. Kopia konfiguracji to plik ze wszystkimi ustawieniami zapory. Klucz zaszyty na stałe to tajny klucz wbudowany w oprogramowanie, identyczny u wszystkich klientów. HA (wysoka dostępność) to para zapór, z których jedna przejmuje pracę, gdy druga padnie. Ransomware to atak szyfrujący dane dla okupu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Kopia konfiguracji wysłana mailem do serwisanta | Hasła w pliku są zaszyfrowane i bezpieczne | Każdy, kto przejmie skrzynkę, odszyfruje hasła wspólnym kluczem |
Hasła kont VPN pracowników | Znane tylko pracownikom | Do odczytania z pliku konfiguracji |
Hasło administratora zapory | Chronione | Nadal nieczytelne (wyjątek wskazany przez producenta) |
Logowanie napastnika przez VPN | Wymagałoby złamania hasła | Wygląda jak zwykłe logowanie pracownika |
Zmiana tylko hasła administratora po incydencie | Uważana za wystarczającą | Nic nie daje, bo wyciekły hasła użytkowników |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa „z internetu” sama z siebie: napastnik musi najpierw zdobyć plik kopii konfiguracji lub dostęp pozwalający go pobrać. CISA ocenia, że atak nie jest automatyzowalny, czyli jest prowadzony ręcznie wobec wybranych celów.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie pliku | T-dni do tygodni | Pozyskanie kopii konfiguracji z przejętej skrzynki, laptopa, dysku sieciowego lub od podwykonawcy | Plik konfiguracji FortiGate |
2. Odszyfrowanie | T+0 min | Użycie znanego, wspólnego klucza | Hasła użytkowników, hasła kluczy prywatnych, hasło HA |
3. Logowanie | T+godziny | Połączenie VPN jako prawdziwy pracownik | Dostęp do sieci firmy bez alarmu |
4. Rozszerzenie | T+dni | Próby tych samych haseł w poczcie i systemach, rozpoznanie sieci | Dostęp do kolejnych systemów |
5. Ransomware | T+dni do tygodni | Kradzież danych, szyfrowanie serwerów, żądanie okupu | Przestój i szantaż |
Ocena „średnia” jest myląca. Ta luka nie służy do włamania, tylko do jego rozszerzenia i utrwalenia, a CISA potwierdza jej użycie w kampaniach ransomware. Problemem są też pliki powstałe dawno temu: aktualizacja zapory nie odszyfrowuje ich z powrotem ani nie zmienia haseł, które w nich zapisano.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana haseł wszystkich kont VPN i kluczy, przestój przy incydencie ransomware | Dni do tygodni | 20 tys. do 300 tys. PLN (praca IT, przestój) |
Bezpieczeństwo danych | Dostęp do sieci na koncie pracownika, wyciek danych z serwerów | Dni od zdobycia pliku | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, oszustwa na fakturach, koszty specjalistów | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów po wycieku lub przestoju | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z FortiGate i starymi kopiami konfiguracji
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE (ransomware: Known)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: bezpośredni wpływ luki to „tylko” odczyt haseł (CVSS 6.5), ale w łańcuchu ataku daje dostęp do sieci jako pracownik, stąd wpływ 4; prawdopodobieństwo średnie, bo napastnik musi najpierw zdobyć plik, a atak jest prowadzony ręcznie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję FortiOS na każdej zaporze i porównać z szerszym zakresem (NVD) | Dziś | Administrator zapory |
2 | 🔴 NATYCHMIAST | Odszukać wszystkie kopie konfiguracji zapory: maile, dyski sieciowe, laptopy, nośniki, u podwykonawców | Dziś | Administrator / CTO |
3 | 🟠 PILNIE | Zaktualizować FortiOS do aktualnej wspieranej wersji (co najmniej poza zakresem podatnym) | Do 3 dni | Administrator / partner Fortinet |
4 | 🟠 PILNIE | Wymienić hasła wszystkich lokalnych kont użytkowników zapory (VPN), hasła kluczy prywatnych i hasło HA | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Poprosić pracowników, by zmienili te same hasła wszędzie, gdzie ich używali | Do 3 dni | Kierownik IT |
6 | 🟠 PILNIE | Przejrzeć dzienniki logowań VPN pod kątem nietypowych godzin i lokalizacji | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Wprowadzić zasadę: kopie konfiguracji tylko w menedżerze haseł lub na zaszyfrowanym nośniku, nigdy w mailu | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Włączyć drugi składnik logowania do VPN | Do 30 dni | CTO / administrator |
Fortinet opublikował biuletyn FG-IR-19-007 z zaleceniami zaradczymi, a według NVD nowsze wydania FortiOS (od 6.0.7 i 6.2.1) nie są podatne, więc aktualizacja jest dostępna. Aktualizacja nie zabezpiecza jednak plików, które już istnieją. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana haseł kont zapisanych w konfiguracji | Wysoka: unieważnia hasła, które mogły wyciec | Średnia: wymaga koordynacji z pracownikami |
Usunięcie zbędnych kopii konfiguracji i zabezpieczenie pozostałych | Wysoka wobec przyszłych wycieków | Łatwa |
Drugi składnik logowania do VPN | Wysoka: samo hasło nie wystarcza do wejścia | Średnia |
Monitorowanie logowań VPN | Niska jako ochrona, przydatne do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja FortiOS | W zakresie podatnym | Aktualna wspierana wersja |
Kopie konfiguracji | Rozsiane po mailach i dyskach | Zinwentaryzowane, zbędne usunięte, reszta zaszyfrowana |
Hasła kont VPN | Te same od lat, możliwe że odczytane | Wymienione, także w innych systemach |
Logowanie do VPN | Samo hasło | Hasło i drugi składnik |
Wiedza o nadużyciach | Brak | Dzienniki logowań przejrzane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, nieautomatyzowalne, skutek częściowy |
Grupy przestępcze | Brak publicznych informacji o nazwach grup w materiałach źródłowych |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 6.5 ŚREDNIA (CVSS 3.1, NVD i CISA); 4.0 wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | Brak publicznych informacji w materiałach źródłowych |
Liczba atakowanych firm | Brak publicznych informacji |
Rozbieżności w opisach | Opis w katalogu KEV mówi o „zaszyfrowaniu” danych, producent i NVD o ich odszyfrowaniu; ENISA opisuje produkt jako FortiGate i podaje węższy zakres wersji |
Prognoza EPSS | Około 5,6% szansy wykorzystania w ciągu 30 dni, górne 8% podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2019-6693
CVSS 3.1 (NVD, CISA) 6.5/10 █████████████░░░░░░░ ŚREDNIA
EPSS (analiza źr.) ~5.6% █░░░░░░░░░░░░░░░░░░░ top 8%
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Wiek luki ~7 lat ████████████████████ stare pliki nadal groźne 2019-11-21 Fortinet publikuje biuletyn FG-IR-19-007, NVD publikuje CVE
2025-06-23 Ocena CISA: wykorzystanie aktywne
2025-06-25 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-07-16 Termin naprawy wg CISA dla agencji federalnych
2026-08-04 Ostatnia aktualizacja wpisu w NVD
... ponad 14 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Fortinet: FG-IR-19-007 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2019-6693 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa zapór Fortinet FortiGate i na jakich wersjach FortiOS | CTO | DZISIAJ |
2 | Zlecić odszukanie wszystkich kopii konfiguracji zapory, także u partnerów IT | CTO | DZISIAJ |
3 | Zatwierdzić wymianę haseł wszystkich kont VPN zapisanych na zaporze | CTO | DO JUTRA |
4 | Zatwierdzić okno serwisowe na aktualizację FortiOS | CTO | DO JUTRA |
5 | Zapytać partnerów IT, gdzie przechowują kopie konfiguracji firmy i jak je chronią | CFO / CTO | DO JUTRA |
6 | Zarezerwować budżet na drugi składnik logowania do VPN | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia w zakresie ransomware | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja FortiOS działa na każdej z naszych zapór? | [wersja] | 🔴 |
2 | Gdzie są przechowywane kopie konfiguracji zapór i ile ich jest? | [lista miejsc] | 🔴 |
3 | Czy kopie konfiguracji były kiedykolwiek wysyłane mailem lub przekazywane podwykonawcom? | TAK / NIE | 🔴 |
4 | Kiedy ostatnio zmieniono hasła lokalnych kont VPN na zaporze? | [data] | 🟠 |
5 | Czy hasło HA i hasła kluczy prywatnych zostały zmienione po aktualizacji? | TAK / NIE | 🟠 |
6 | Czy logowanie do VPN wymaga drugiego składnika? | TAK / NIE | 🟠 |
7 | Czy przejrzeliśmy dzienniki logowań VPN pod kątem nietypowej aktywności? | TAK / NIE, [data] | 🟡 |
CVE-2019-6693 sprawia, że hasła zapisane w kopii konfiguracji Fortinet FortiOS da się odszyfrować wspólnym, zaszytym kluczem, a CISA potwierdza użycie tej luki w kampaniach ransomware. Aktualizacja FortiOS zamyka problem na przyszłość, ale nie zabezpiecza plików, które już krążą. Dlatego dziś trzeba sprawdzić wersje, odszukać kopie konfiguracji i zaplanować wymianę haseł kont VPN.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.