Arctic Wolf ser uautoriserte konfigurasjonsendringer på FortiGate via SSO
Arctic Wolf har rapportert om fornyet ondsinnet aktivitet mot Fortinet FortiGate-enheter fra 15. januar 2026, med uautoriserte konfigurasjonsendringer gjennom SSO-kontoer. Aktiviteten omfatter opprettelse av generiske brukerkontoer, konfigurasjonsendringer som gir VPN-tilgang, og eksfiltrering av brannmurkonfigurasjoner. Tilsvarende rapporter er delt av flere Reddit-brukere, blant annet om hendelser på fullt oppdaterte FortiOS-enheter. Atferden ligner utnyttelse av CVE-2025-59718 og CVE-2025-59719, men rapporter om aktivitet på FortiOS 7.4.10 tyder på at oppdatering alene kan være utilstrekkelig. Fortinet anbefaler midlertidig å deaktivere SSO-innlogging mens undersøkelser og mitigeringer pågår.
Hva det betyr for virksomheten
Brannmuren er en av de få komponentene der en kompromittering gir angriperen både tilgang og oversikt. En eksfiltrert konfigurasjon er et kart over hele nettet: segmenter, regler, VPN-oppsett og navngiving. At aktiviteten også ses på oppdaterte enheter er det som gjør denne saken krevende, fordi det vanlige svaret om å patche ikke gir noen garanti. Da må dere lete etter spor framfor å anta at dere er utenfor.
Berigo anbefaler
- Vurder å deaktivere SSO-innlogging på FortiGate midlertidig, i tråd med Fortinets anbefaling.
- Gå gjennom brukerkontoer og VPN-konfigurasjon på brannmurene og fjern alt som ikke er dokumentert opprettet.
- Behandl brannmurkonfigurasjonen som potensielt eksponert: bytt delte hemmeligheter, og revurder segmenteringen.
- Sett opp varsling ved konfigurasjonsendringer på brannmurene, slik at neste endring oppdages samme dag.
Kilde
Sikkerhet som forstås, styres og virker.
La oss hjelpe dere å gjøre sikkerhet til et fortrinn, ikke en kostnad. Ta kontakt for en uforpliktende samtale om hvor virksomheten står, og hva som bør prioriteres først.
Ta kontakt