สรุปสั้น
FortiBleed คือ ชื่อที่ใช้เรียกชุดข้อมูล credential ของไฟร์วอลล์ Fortinet FortiGate ที่หลุดจากเซิร์ฟเวอร์ของผู้โจมตีเมื่อมิถุนายน 2026 ชุดแรกครอบคลุมราว 73,000 เครื่องใน 194 ประเทศ รวมถึงไทย ตามที่รายงานไว้ใน 2026/06/123 และยังถูกใช้โจมตีต่อเนื่องตามคำเตือนของ FBI ใน 2026/10/039 ล่าสุดบริษัท Hudson Rock เผยแพร่ผลวิเคราะห์ภาคต่อชื่อ FortiBleed 2.0 เมื่อวันที่ 27 ตุลาคม 2026 จากไฟล์ที่ได้มาใหม่ ซึ่งลึกกว่าเดิม เพราะไม่ได้มีแค่รหัสล็อกอินหน้าไฟร์วอลล์ แต่เป็นรายงานคอนฟิกที่เผยให้เห็นบัญชีและบริการที่อยู่หลังไฟร์วอลล์
ชุดใหม่มีไฟล์รายงานคอนฟิก 1,703 ไฟล์ พบความลับแบบข้อความธรรมดา (cleartext) 40,573 รายการ ในจำนวนนี้เป็นรหัสผ่านผู้ใช้ภายในของไฟร์วอลล์ 37,076 รายการ และรหัสที่ไฟร์วอลล์ใช้เชื่อมกับ Active Directory ผ่าน LDAP อีก 1,576 รายการ ซึ่งเป็นสะพานจากไฟร์วอลล์เข้าสู่ระบบยืนยันตัวตนภายในองค์กร Hudson Rock ย้ำว่านี่ไม่ใช่ช่องโหว่ใหม่ และตัวเลขเป็นจำนวนรายการ ไม่ใช่จำนวนผู้ใช้หรือรหัสที่ยังใช้ได้จริง องค์กรที่ใช้ FortiGate ควรเปลี่ยนรหัส VPN รหัส LDAP bind และความลับของคลัสเตอร์ HA แล้วเปิด MFA
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่าการสอบสวน FortiBleed 2.0 ซึ่งเผยแพร่เมื่อวันที่ 27 ตุลาคม 2026 พบความลับแบบข้อความธรรมดา 40,573 รายการในคอนฟิก FortiGate ที่หลุดออกมา นักวิจัยตรวจไฟล์รายงานคอนฟิก 1,703 ไฟล์ ซึ่งมีรายการ credential และบัญชีรวม 101,419 รายการ ผูกกับตัวระบุโฮสต์ 1,689 ตัว นอกจากรหัสผู้ใช้และรหัส LDAP แล้ว ยังมีรหัสล็อกอินผู้ดูแลระบบ รหัสผ่านเซิร์ฟเวอร์อีเมล และความลับของคลัสเตอร์ high-availability (HA)
ไทม์ไลน์ของข้อมูลยังไม่ชัดเจน ไฟล์ส่วนใหญ่ลงวันที่ 20 กุมภาพันธ์ 2026 แต่อีก 31 ไฟล์ไม่มีวันที่ จึงยังยืนยันไม่ได้ว่าผู้โจมตีเข้าถึงอุปกรณ์และขโมยคอนฟิกเมื่อใด เมื่อเทียบกับชุดแรก นักวิจัยพบตัวระบุโฮสต์ใหม่ 924 ตัว และชื่อโดเมนใหม่ 975 ชื่อที่ไม่เคยอยู่ในชุดก่อนหน้า
Hudson Rock ใส่ข้อจำกัดของหลักฐานไว้หลายข้อ ข้อแรก ตัวเลขทั้งหมดเป็นจำนวนรายการ ไม่ใช่จำนวนผู้ใช้ไม่ซ้ำ อุปกรณ์ที่ยืนยันแล้ว หรือรหัสที่ยังใช้ได้วันนี้ ข้อสอง ชื่อโดเมนอาจเป็นของผู้ให้บริการ ผู้ติดต่อจดทะเบียน หรือเจ้าของบัญชี จึงไม่ควรอ่านว่ามีบริษัทใหม่ถูกเจาะ 975 แห่ง ข้อสาม ในบรรดารหัสผู้ใช้ภายใน มี 7,437 รายการที่เป็นบัญชีถูกปิดใช้งานแล้ว และช่อง MFA ที่ว่างไม่ได้แปลว่าไม่มี MFA เพราะอาจบังคับผ่านระบบยืนยันตัวตนภายนอก
วิธีการโจมตี
ดึงคอนฟิกแล้วแกะความลับ — ชุดเครื่องมือที่พบในข้อมูลชุดนี้ดึงคอนฟิกไฟร์วอลล์ออกมา กู้ความลับที่เก็บไว้ แล้วพยายามเข้าถึงต่อ ขั้นตอนแยกข้อมูลจะเก็บรายชื่อผู้ใช้ภายใน บัญชีผู้ดูแล การเชื่อมต่อ LDAP การตั้งค่าคลัสเตอร์ และรหัสอีเมลแยกเป็นหมวด
กู้ค่า ENC แบบออฟไลน์ — FortiOS เก็บรหัสบางส่วนในคอนฟิกเป็นค่า ENC ที่เข้ารหัสไว้ แต่ถ้าอุปกรณ์ใช้คีย์เข้ารหัสค่าเริ่มต้นของระบบ ค่าเหล่านี้บางส่วนกู้คืนเป็นข้อความธรรมดาได้แบบออฟไลน์ โดยขึ้นกับเวอร์ชันซอฟต์แวร์ การตั้งค่า และข้อมูลที่ผู้โจมตีมี นี่ คือ เหตุผลที่ไฟล์คอนฟิกที่หลุดมีค่าเท่ากับรหัสผ่านที่หลุด
จากไฟร์วอลล์เข้าสู่ Active Directory — รหัส LDAP bind คือ บัญชีที่ FortiGate ใช้สอบถามข้อมูลผู้ใช้จาก Active Directory หากบัญชีนี้ได้สิทธิ์มากเกินจำเป็น ผู้โจมตีที่ได้รหัสไปจะขยายผลเข้าเครือข่ายภายในได้ง่ายขึ้น แต่ Hudson Rock ย้ำว่าสิทธิ์สอบถาม LDAP ทั่วไปไม่ได้ให้สิทธิ์ Domain Admin โดยอัตโนมัติ
ใช้รหัส VPN ได้หรือไม่ขึ้นกับเงื่อนไข — รหัสผู้ใช้ภายในที่หลุดอาจใช้ล็อกอิน VPN ได้ แต่จะสำเร็จหรือไม่ขึ้นกับสถานะบัญชี กฎการเข้าถึง การเข้าถึงอุปกรณ์จากภายนอก และการบังคับ MFA
ผลกระทบ
กลุ่มที่เสี่ยงโดยตรง คือ องค์กรที่ใช้ FortiGate และอยู่ในชุดข้อมูลนี้ โดยเฉพาะรายที่ผูกไฟร์วอลล์กับ Active Directory ผ่าน LDAP ด้วยบัญชีสิทธิ์สูง หรือใช้คีย์เข้ารหัสค่าเริ่มต้นของ FortiOS ขนาดของข้อมูลชุดใหม่เล็กกว่าชุดแรกมากในแง่จำนวนเครื่อง แต่ลึกกว่าในแง่ชนิดของความลับ เพราะครอบคลุมทั้ง VPN ไดเรกทอรี อีเมล และคลัสเตอร์ HA
ความหมายในทางปฏิบัติ คือ องค์กรที่เปลี่ยนแค่รหัสผู้ดูแลไฟร์วอลล์หลังเหตุ FortiBleed ชุดแรก อาจยังเปิดช่องอยู่ เพราะความลับอื่นในคอนฟิก เช่น รหัส LDAP bind หรือรหัสเซิร์ฟเวอร์อีเมล อาจไม่เคยถูกเปลี่ยน และข้อมูลเหล่านี้เปิดทางจากขอบเครือข่ายเข้าสู่ระบบยืนยันตัวตนภายในโดยตรง
คำแนะนำ
- ตัด session และเปลี่ยนรหัสทันที — สิ้นสุด session ของผู้ดูแลและผู้ใช้ VPN ทั้งหมด แล้วเปลี่ยนรหัสผู้ใช้ภายใน รหัสผู้ดูแล รหัส LDAP bind ความลับของคลัสเตอร์ HA และรหัสเซิร์ฟเวอร์อีเมลที่อยู่ในคอนฟิก ตามแนวทางของ Fortinet
- เลิกใช้คีย์เข้ารหัสค่าเริ่มต้น — ตั้ง private data encryption key ของ FortiOS เอง เพื่อไม่ให้ค่า ENC ในคอนฟิกที่หลุดถูกกู้แบบออฟไลน์ได้ง่าย
- ลดสิทธิ์บัญชี LDAP bind — ให้บัญชีที่ FortiGate ใช้มีสิทธิ์แค่อ่านข้อมูลที่จำเป็น ไม่อยู่ในกลุ่มผู้ดูแลโดเมน
- ตรวจว่าโดนแล้วหรือยัง — เทียบคอนฟิกปัจจุบันกับคอนฟิกที่เชื่อถือได้ ไล่ล็อกไฟร์วอลล์และ domain controller หาการล็อกอินหรือการสอบถาม LDAP ที่ผิดปกติ และตรวจที่มาของบัญชีอย่าง fgtsecure หรือ forticloud-sync ก่อนตัดสินว่าเป็นบัญชีแปลกปลอม เพราะชื่อบัญชีอย่างเดียวยังไม่ใช่หลักฐาน
- ระยะยาว — บังคับ MFA สำหรับ VPN และผู้ดูแลทุกบัญชี อัปเดตเฟิร์มแวร์ และปิดหน้าจัดการจากอินเทอร์เน็ตให้เข้าได้เฉพาะเครือข่ายที่กำหนด