Fortigate

Hudson Rock เปิดผลวิเคราะห์ FortiBleed 2.0 จากไฟล์รายงานคอนฟิก FortiGate ชุดใหม่ 1,703 ไฟล์ พบความลับแบบข้อความธรรมดา 40,573 รายการ รวมรหัสผ่านผู้ใช้ภายใน 37,076 รายการและรหัส LDAP ที่เชื่อมไฟร์วอลล์กับ Active Directory 1,576 รายการ ชุดนี้ไม่ใช่ช่องโหว่ใหม่ แต่เป็นข้อมูลคอนฟิกที่ถูกขโมยไป ส่วนใหญ่ลงวันที่ 20 กุมภาพันธ์ 2026 ตัวเลขเป็นจำนวนรายการ ไม่ใช่จำนวนผู้ใช้หรือรหัสที่ยังใช้ได้จริง ผู้ดูแลควรเปลี่ยนรหัส VPN, LDAP และ HA และเปิด MFA

Group-IB และ NyxLab เปิดเผยแคมเปญเจาะอุปกรณ์ขอบเครือข่ายทั่วโลกของ k0t ผู้โจมตีที่น่าจะเป็นนายหน้าขายสิทธิ์เข้าถึงหรือพันธมิตรของ Qilin และ The Gentlemen ผู้โจมตีใช้ FOFA และ ZoomEye คัดหา FortiGate และ GlobalProtect ที่เปิดออกอินเทอร์เน็ต แล้วเจาะผ่านช่องโหว่ FortiWeb และ PAN-OS หรือเดารหัสผ่าน จากนั้นคงสิทธิ์ด้วยเครื่องมือรีโมตถูกกฎหมายและขนข้อมูลออกด้วย Rclone พบ credential รั่วกว่า 70,000 รายการ เหยื่อเกือบ 38% อยู่ในเอเชียแปซิฟิก

FBI และหน่วยสืบราชการลับสหรัฐฯ (USSS) เตือนว่าแคมเปญ FortiBleed ยังโจมตี FortiGate และ SSL VPN ที่เปิดสู่อินเทอร์เน็ตอยู่ ผู้โจมตีสแกนอุปกรณ์ด้วย credential ที่เคยขโมยได้ และอาศัยการเก็บรหัสผ่านแบบ SHA-256 รุ่นเก่าที่แคร็กได้ง่าย แคมเปญนี้เก็บ credential ที่ใช้ได้จริงไปแล้วกว่า 86,644 ชุดใน 194 ประเทศ คำเตือนรวมรายชื่อบัญชีแอดมินปลอมที่ผู้โจมตีสร้างเพื่อคงสิทธิ์ บางกรณีผู้โจมตีลบหรือเปลี่ยนรหัสบัญชีเดิมจนองค์กรเข้าอุปกรณ์ตัวเองไม่ได้

Kaspersky เผยการโจมตีของแรนซัมแวร์ PAYLOAD ที่ใช้ Group Policy Object (GPO) บน Active Directory ป่วนทั้งโดเมน Windows โดยไม่เข้ารหัสไฟล์และไม่วางไฟล์แรนซัมแวร์ ผู้โจมตีเข้าองค์กรผู้ผลิตในตะวันออกกลางผ่าน FortiGate SSL VPN ด้วยบัญชีที่ถูกขโมย แล้วสร้าง GPO ชื่อ PAYLOAD ผูกที่รากโดเมนเพื่อเปลี่ยนวอลเปเปอร์ ปิดไฟร์วอลล์และบัญชีผู้ดูแล พร้อมขโมยข้อมูลไปแฉบนดาร์กเว็บ เป็นโมเดลกรรโชกแบบไม่เข้ารหัส

บริษัท Hunt.io เปิดเผยว่าพบผู้โจมตีฝังตัวในเครือข่ายของ 3BB ผู้ให้บริการบรอดแบนด์รายใหญ่ของไทย โดยใช้เครื่องมือจัดการระยะไกล MeshCentral เป็นแบ็กดอร์ลับคุมเครื่องภายในด้วยสิทธิ์ root นักวิจัยพบเบาะแสจากเซิร์ฟเวอร์ผู้โจมตีที่เปิดทิ้งบนอินเทอร์เน็ตเมื่อ 3 มิถุนายน 2569 ซึ่งเก็บชุดเครื่องมือและรายชื่อเครื่องที่ถูกยึด สคริปต์บนเซิร์ฟเวอร์ถูกสร้างมาเพื่อคัดลอกฐานข้อมูล RADIUS ที่เก็บรหัสผ่านลูกค้า และมีชุดโจมตี FortiGate SSL-VPN ผ่าน CVE-2024-21762 ครบชุด แต่ยังไม่มีหลักฐานยืนยันว่าข้อมูลถูกขโมยจริง

SOCRadar เชื่อมโยงแคมเปญ FortiBleed ที่ขโมย credential จาก FortiGate เข้ากับปฏิบัติการแรนซัมแวร์ INC และ Lynx เป็นครั้งแรก โดยพบผู้ปฏิบัติการล็อกอินเข้าแผงเจรจาของทั้งสองกลุ่ม แคมเปญนี้สแกน FortiGate ราว 430,000 เครื่องทั่วโลก เก็บ credential ได้กว่า 110 ล้านชุดผ่าน packet sniffer นำไปสู่การวาง ransomware อย่างน้อย 12 ครั้ง เชื่อว่าเป็นฝีมือกลุ่มพูดรัสเซียราว 20 คนที่ทำหน้าที่ initial access broker และยังเล็งอุปกรณ์ Citrix เป็นเป้าถัดไป

นักวิจัยด้านความปลอดภัยค้นพบเซิร์ฟเวอร์ที่เก็บ credential ของอุปกรณ์ Fortinet VPN กว่า 73,000 URL จาก 194 ประเทศ รวมถึงชื่อผู้ใช้ อีเมล และรหัสผ่านแบบ plaintext ของบริษัทชั้นนำอย่าง Samsung, Foxconn และ Comcast โดยไทยติดอันดับ 10 ประเทศที่ได้รับผลกระทบมากที่สุด