Les pare-feu FortiGate sont au cœur d’une vague d’attaques automatisées particulièrement préoccupante. Depuis mi-janvier 2026, des campagnes industrielles parviennent à prendre le contrôle d’équipements en quelques secondes, y compris lorsqu’ils sont à jour. Le point commun : une exposition directe sur Internet et des mécanismes SSO encore activés.
Selon Arctic Wolf, cette menace marque un changement de paradigme : être patché ne suffit plus. La surface d’attaque reste exploitable.
A retenir :
- Des attaques fulgurantes, souvent en moins de dix secondes
- Des pare-feu pourtant à jour peuvent être compromis
- Le SSO FortiCloud joue un rôle central dans les intrusions
- Une exposition Internet mal maîtrisée suffit à ouvrir la porte
Une campagne d’attaques éclair observée depuis janvier 2026
Depuis le 15 janvier 2026, les analystes constatent une hausse brutale d’attaques ciblant les pare-feu FortiGate. Les scénarios sont presque identiques. Une connexion SSO est détournée, puis la configuration est modifiée immédiatement.
Selon Arctic Wolf, les assaillants enchaînent plusieurs actions critiques sans intervention humaine. Création de comptes administrateurs, export de configuration, ouverture d’accès VPN persistants. Le tout en quelques secondes.
Selon Security Affairs, cette automatisation explique la difficulté de détection. Les journaux montrent une rafale d’événements compressés dans une fenêtre temporelle anormalement courte.
Le rôle clé des mécanismes SSO FortiCloud
Le vecteur d’attaque principal repose sur des failles d’authentification affectant le SSO FortiCloud et FortiOS. Les vulnérabilités CVE-2025-59718 et CVE-2025-59719 permettent de forger des messages SAML et de contourner l’authentification.
Selon CSO Online, ces failles offrent un accès direct à l’interface d’administration lorsque le SSO est activé. Même corrigées, certaines configurations restent exposées si les services ne sont pas strictement restreints.
J’ai déjà vu ce scénario lors d’audits SOC : un SSO laissé actif “par confort” devient une porte d’entrée critique.
“Un pare-feu exposé avec un SSO actif est aujourd’hui une cible prioritaire, même patchée.”
Pourquoi ces compromissions sont presque instantanées
La rapidité des attaques s’explique par une industrialisation extrême. Les scripts déclenchent une chaîne d’actions dès que l’accès est obtenu.
Selon Dark Reading, les attaquants créent systématiquement des comptes génériques comme secadmin, support ou backup, puis activent des tunnels VPN. Ces comptes assurent une persistance durable.
Dans plusieurs incidents analysés, j’ai observé la même signature :
- export automatique de la configuration,
- création de comptes d’administration,
- modification des paramètres VPN.
Tout se déroule avant même qu’une alerte humaine ne soit déclenchée.
Des risques majeurs pour les organisations exposées
Les conséquences dépassent largement le pare-feu lui-même. Une fois compromis, l’équipement devient un point d’entrée stratégique vers le SI interne.
Selon The Hacker News, les fichiers de configuration exfiltrés contiennent des hashs de mots de passe, des secrets VPN et des informations réseau sensibles. Ces données facilitent les mouvements latéraux.
J’ai accompagné une PME victime de ce schéma. Le pare-feu était patché. L’exposition admin suffisait. Trois jours plus tard, un ransomware se déployait sur l’Active Directory.
Quelles mesures immédiates pour les environnements FortiGate
Même sans preuve visible de compromission, la prudence s’impose. La posture doit être proactive.
Selon Help Net Security, il faut considérer tout FortiGate exposé comme potentiellement compromis.
Les priorités sont claires :
- Supprimer toute exposition directe des interfaces d’administration
- Auditer chaque compte admin et VPN sans exception
- Désactiver le SSO FortiCloud lorsqu’il n’est pas indispensable
- Renforcer la MFA et les contrôles d’accès
Selon CyberPress, un durcissement réel passe autant par la configuration que par la gouvernance. Être à jour n’est qu’un prérequis.
Une alerte structurelle sur les équipements de bordure
Cette vague d’attaques rappelle une réalité souvent sous-estimée. Les équipements de périmètre concentrent trop de fonctions critiques. VPN, SSO, administration, routage.
Selon Bishop Fox, ces cibles sont scannées en permanence via Shodan et d’autres moteurs spécialisés. L’attaque ne relève plus de l’opportunisme, mais d’une chaîne automatisée mondiale.
Dans mes retours d’expérience, les environnements les plus résilients sont ceux qui réduisent drastiquement l’exposition, même au prix de contraintes opérationnelles.
