CVE-2025-64446FortiWeb 初始访问路径
攻击工具通过该漏洞利用的是 FortiWeb，而非 FortiGate。
k0t 边缘设备攻击活动泄露逾 7 万条凭据，并建立持久网络访问
Group-IB 和 NyxLab 报告了一批不同的凭据数据及针对暴露的 FortiGate、FortiWeb 和 GlobalProtect 的入侵。逾 7 万条凭据不等于受害者人数；与勒索软件组织的隶属关系尚未证实。
- 披露时间
- 2026年10月21日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 本页收录 2 个 CVE
- 波及范围
- 弱密码 FortiGate、存在漏洞的 FortiWeb，或开启 override cookie 且复用门户/网关证书的 GlobalProtect
- Fortinet · GlobalProtect · credentials
- 在野利用
- 已发现
- Group-IB 和 NyxLab 观察到持久访问及数据外传
发生了什么
研究人员发现，这批凭据与此前 FortiBleed 数据集的重合极少。与 FortiBleed 和勒索软件组织的关联仍是分析判断，不能证明由相同人员操控。受害者归属尚未全部核实。本报告记录的是新披露的攻击活动证据，并非新漏洞。
对 GlobalProtect，检查 Network → GlobalProtect → Portals/Gateways → Agent 中的认证设置。关闭认证覆盖，或新生成专用 cookie 证书，不要复用门户/网关证书。根据厂商各版本对应的表格升级所有门户和网关。
马桶里有什么
CVE-2026-0257GlobalProtect 认证绕过路径
需要认证覆盖 cookie 及受影响的证书配置；该活动用门户证书伪造 cookie。
案发时间线
2026年10月21日
Group-IB 和 NyxLab 发布联合调查
约 2026年2月至6月
多起已观察到的 FortiGate 入侵发生于这一时期
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Group-IB 和 NyxLab 联合调查一手来源观察到漏洞利用、不同的凭据数据集、持久化、数据外传，并提供防御指标
- The Hacker News10月23日报道该活动；原始研究于 10月21日发布
- Palo Alto Networks CVE-2026-0257 公告一手来源所需配置及缓解：使用专用 cookie 证书，或关闭认证覆盖