Il problema non è solo il codice di FortiGate. Se credenziali, hash legacy o sessioni sono già finiti fuori, l’apparato resta raggiungibile dalla sua interfaccia di management e dallo SSL-VPN anche dopo la correzione del software. La reazione standard — patchare e chiudere il ticket — non elimina un accesso che aveva già comprato fiducia.
Qualys descrive FortiBleed come un cluster di abuso credenziali su dispositivi FortiGate esposti su Internet, guidato da riuso di password, brute force e hash storici, non da un nuovo zero-day. Il quadro tocca FortiGate, FortiOS, FortiProxy, FortiAnalyzer e FortiWeb, con riferimento a otto CVE Fortinet e a rilevazioni per tracciare esposizione e autenticazione anomala.
Per chi gestisce portali di amministrazione o SSL-VPN esposti, la lezione è che la patch da sola non chiude il punto d’ingresso se i segreti rubati continuano a funzionare. Il rischio resta nella fiducia già concessa all’apparato, non solo nella falla corretta.