Ce que ça change pour une PME
- Si votre FortiGate ou votre FortiProxy n'a pas été mis à jour depuis début 2025, vérifiez la version : FortiOS avant 7.0.17 et FortiProxy avant 7.2.13 ou 7.0.20 restent exploitables.
- L'interface d'administration HTTP/HTTPS ne doit jamais être accessible depuis Internet — c'est le point d'entrée des deux failles utilisées par Gunra.
- Un compte administrateur au nom aléatoire que personne ne reconnaît est le signe de compromission que Fortinet cite explicitement : à chercher dès aujourd'hui.
- Le MFA seul ne protège pas si le portail d'authentification lui-même a été modifié — des sauvegardes hors ligne restent la dernière ligne de défense.
Le FBI et la CISA, accompagnés du Cyber Crime Center du ministère de la Défense américain, de la NSA, du Secret Service et de la police nationale sud-coréenne, ont publié le 10 août un avis conjoint sur le rançongiciel Gunra (référence AA26-222A). Le groupe a touché au moins 51 organisations (hôpitaux, administrations, établissements financiers) en Amérique, en Europe, au Moyen-Orient, en Afrique et en Asie-Pacifique, selon l'avis. Sa porte d'entrée privilégiée n'a rien d'inédit : deux failles d'authentification dans FortiOS et FortiProxy, corrigées par Fortinet depuis plus d'un an mais toujours présentes sur une partie du parc installé.
Deux failles, deux mécanismes
Fortinet regroupe les deux vulnérabilités sous une même référence, FG-IR-24-535, mais elles ne fonctionnent pas de la même façon. CVE-2024-55591 touche l'interface d'administration : une requête forgée envoyée au module websocket Node.js du boîtier permet à un attaquant non authentifié d'obtenir des droits super-admin. Elle est notée 9,6 sur 10 à l'échelle CVSS. CVE-2025-24472 passe par un autre chemin : le Security Fabric, la fonction qui synchronise plusieurs boîtiers Fortinet entre eux, via des requêtes CSF forgées. Elle suppose que cette fonction soit activée et que l'attaquant connaisse les numéros de série des appareils concernés. Elle est notée 8,1.
Les deux permettent, une fois exploitées, de créer un compte administrateur sur le boîtier. Fortinet précise dans son avis que les comptes créés par les attaquants portent généralement un nom aléatoire — une piste de détection simple pour qui veut vérifier son propre équipement.
Le MFA contourné après coup
Selon Dark Reading et The Hacker News, l'accès administrateur au FortiGate n'est que la première étape. Gunra modifie ensuite les fichiers de traitement de l'authentification sur le portail VDI ou SSL-VPN de l'entreprise, de façon à ce qu'un code à usage unique choisi par le groupe soit systématiquement accepté, quel que soit le compte visé. Le MFA n'est donc pas cassé au sens cryptographique du terme : le portail qui le vérifie a été trafiqué en amont. C'est une nuance qui compte, parce qu'elle signifie qu'une authentification à plusieurs facteurs correctement configurée ne protège pas si l'accès administrateur qui la contrôle a déjà été compromis en amont.
La suite de l'intrusion suit un schéma classique de double extorsion. Le groupe se déplace latéralement dans le réseau avec les outils Impacket (psexec.py, smbclient.py, secretsdump.py) pour extraire les empreintes de mots de passe du contrôleur de domaine, et vole les cookies de session SSL-VPN. Les fichiers sont ensuite exfiltrés vers le service MEGA avant d'être chiffrés avec les algorithmes Salsa20 et ChaCha20. L'avis fédéral note que les attaques ont principalement lieu entre 22 h et 6 h, et que les victimes reçoivent un délai de cinq à sept jours avant publication des données volées.
Les versions concernées
| Produit | Versions vulnérables | Version corrigée |
|---|---|---|
| FortiOS | 7.0.0 à 7.0.16 | 7.0.17 ou supérieure |
| FortiProxy | 7.2.0 à 7.2.12 | 7.2.13 ou supérieure |
| FortiProxy | 7.0.0 à 7.0.19 | 7.0.20 ou supérieure |
Ces correctifs sont disponibles depuis janvier 2025 pour la première faille et quelques semaines plus tard pour la seconde. Si votre FortiGate n'a pas été mis à jour depuis, il est vulnérable indépendamment de toute nouvelle attaque : Gunra exploite un rattrapage, pas une découverte récente.
Ce qu'il faut vérifier aujourd'hui
Si la mise à jour ne peut pas être faite immédiatement, Fortinet propose deux mesures de contournement : désactiver l'administration HTTP/HTTPS du boîtier, ou restreindre l'accès à l'interface d'administration à une liste d'adresses IP autorisées via une politique local-in. Si le Security Fabric n'est pas utilisé entre plusieurs sites, le désactiver ferme la seconde voie d'entrée (config system csf puis set status disable en CLI).
Au-delà du correctif, deux vérifications à faire faire par votre prestataire ne demandent pas d'attendre une fenêtre de maintenance : l'interface d'administration du FortiGate est-elle exposée sur Internet, et existe-t-il un compte administrateur au nom inhabituel que personne dans l'entreprise ne reconnaît. Les deux se vérifient en quelques minutes et ne coûtent rien.