Introduction
Le pare-feu FortiGate exploité devient le vecteur d’intrusion privilégié d’acteurs malveillants en ce début 2026. Des chercheurs de SentinelOne ont découvert une série d’intrusions ciblant les pare-feu de nouvelle génération FortiGate au sein d’environnements d’entreprise. En effet, les attaquants exploitent trois vulnérabilités critiques pour s’introduire dans les réseaux sans identifiants valides, extraire des fichiers de configuration et voler les bases de données Active Directory. Par conséquent, pour toutes les organisations africaines et mondiales qui déploient des équipements FortiGate, l’application immédiate des correctifs disponibles est une urgence absolue. Ainsi, chaque heure de retard prolonge une exposition directe à des attaquants déjà actifs et organisés.
Pare-feu FortiGate exploité : trois vulnérabilités critiques au cœur des attaques
La vague d’attaques identifiée par SentinelOne suit de près trois vulnérabilités de haute gravité divulguées entre décembre 2025 et février 2026. Ces failles constituent la porte d’entrée principale des attaquants dans les réseaux ciblés.
CVE-2025-59718 et CVE-2025-59719 — CVSS 9.8 : accès administrateur sans identifiants
Ces deux vulnérabilités atteignent un score CVSS de 9.8 sur 10. En effet, elles sont toutes deux liées à une vérification incorrecte des signatures cryptographiques — classées CWE-347. Un attaquant non authentifié peut envoyer un jeton SAML falsifié et obtenir un accès administrateur complet aux équipements FortiGate. Aucun identifiant valide n’est nécessaire. Par conséquent, tout équipement FortiGate exposé à Internet et non corrigé représente une porte grande ouverte pour n’importe quel attaquant disposant de cet exploit.
La CISA a ajouté CVE-2025-59718 à son catalogue officiel des vulnérabilités exploitées connues. La date limite de correction était fixée au 23 janvier 2026. De ce fait, les organisations qui n’ont pas appliqué ce correctif à temps opèrent depuis des semaines avec un équipement de sécurité périmétrique compromettable sans authentification.
CVE-2026-24858 — Zero-day exploité activement dès janvier 2026
Cette troisième faille est apparue comme un zero-day activement exploité en janvier 2026. Elle permet à un attaquant de se connecter aux équipements FortiGate victimes en utilisant son propre compte FortiCloud. En effet, cette voie d’attaque est distincte des deux premières. SentinelOne a confirmé qu’il s’agit d’une nouvelle vulnérabilité et non d’un simple contournement de correctif existant. Par conséquent, même les organisations ayant appliqué les correctifs pour CVE-2025-59718 et CVE-2025-59719 restaient vulnérables à cette troisième faille. En outre, Fortinet a temporairement suspendu le service FortiCloud SSO le 26 janvier 2026 pour limiter l’exploitation, avant de publier des correctifs de firmware obligatoires.
Comment les attaquants exploitent les fichiers de configuration FortiGate
Une fois à l’intérieur du système, les attaquants exécutent une commande spécifique pour extraire l’intégralité du fichier de configuration FortiGate. Ce point est particulièrement critique. En effet, FortiOS utilise un système de chiffrement réversible pour ces fichiers de configuration. Par conséquent, les attaquants peuvent déchiffrer les identifiants des comptes de service intégrés dans le fichier — notamment les comptes LDAP et Active Directory. Ainsi, à partir d’un seul équipement FortiGate compromis, un attaquant obtient les clés d’accès à l’ensemble du réseau interne de l’organisation. De ce fait, la compromission d’un pare-feu FortiGate ne se limite pas à cet équipement. Elle ouvre la voie à une intrusion totale dans l’infrastructure de l’entreprise.
Deux incidents analysés par SentinelOne : des méthodes rodées et efficaces
Les chercheurs de SentinelOne ont analysé en détail deux incidents distincts. Chacun révèle un niveau de sophistication et une méthodologie bien établie.
Incident 1 : deux mois de persistance invisibles
Dans le premier incident, la compromission a débuté fin novembre 2025. Elle est restée totalement indétectée jusqu’en février 2026 — soit environ deux mois de présence silencieuse dans le réseau. Après avoir obtenu l’accès, l’attaquant a créé un compte administrateur FortiGate local nommé « support ». Il a ensuite ajouté quatre règles de pare-feu permissives autorisant un trafic sans restriction sur toutes les zones du réseau. Ce comportement est caractéristique d’un courtier d’accès initial — IAB — qui établit et vérifie l’accès avant de le revendre à d’autres cybercriminels.
En février 2026, l’attaquant a utilisé les identifiants déchiffrés pour s’authentifier dans Active Directory. Il a ensuite exploité un attribut Windows pour connecter deux postes de travail non autorisés au domaine de l’entreprise. Cependant, une attaque par pulvérisation de mots de passe depuis l’adresse IP du FortiGate a déclenché des alertes de sécurité. De ce fait, le déplacement latéral a été stoppé avant d’atteindre les objectifs finaux de l’attaquant.
Incident 2 : exfiltration de la base Active Directory en moins de 10 minutes
Le second incident est encore plus préoccupant par sa rapidité. Fin janvier 2026, après avoir créé un compte administrateur local nommé « ssl-admin » sur le FortiGate compromis, l’attaquant s’est connecté à plusieurs serveurs internes en moins de 10 minutes. En effet, les identifiants d’administrateur de domaine récupérés dans le fichier de configuration déchiffré lui ont donné un accès immédiat.
L’attaquant a ensuite déployé deux outils de surveillance et gestion à distance — Pulseway et MeshAgent — hébergés sur des serveurs cloud contrôlés par l’attaquant. MeshAgent a été dissimulé en modifiant une valeur du registre Windows pour le masquer dans la liste des programmes installés. Par ailleurs, l’attaquant a créé une copie du contrôleur de domaine principal et extrait le fichier NTDS.dit — la base de données centrale d’Active Directory contenant tous les hachages de mots de passe du domaine. Les archives compressées ont ensuite été exfiltrées via une connexion à une adresse IP Cloudflare, rendant le trafic particulièrement difficile à distinguer du trafic légitime.
Pourquoi cette vague d’attaques menace particulièrement les organisations africaines
Les équipements Fortinet — et FortiGate en particulier — sont largement déployés dans les banques, les opérateurs télécoms, les administrations publiques et les grandes entreprises en Afrique. En effet, FortiGate constitue souvent la première ligne de défense périmétrique des réseaux africains. Par conséquent, compromettre un FortiGate ne signifie pas seulement pirater un équipement réseau. Cela ouvre l’accès à l’ensemble du système d’information de l’organisation.
Par ailleurs, la durée de persistance observée dans le premier incident — deux mois sans détection — illustre un défi majeur pour les équipes de sécurité africaines. En effet, beaucoup de ces équipes manquent de ressources pour analyser les journaux d’activité réseau en continu. De ce fait, un attaquant peut s’établir durablement dans un réseau africain sans déclencher la moindre alerte. En outre, SentinelOne a souligné que la conservation insuffisante des journaux a fortement entravé les deux enquêtes. Ainsi, cette faiblesse organisationnelle commune sur le continent amplifie directement le risque d’exposition prolongée.
Les actions correctives à mettre en œuvre immédiatement
Face à ce pare-feu FortiGate exploité, les équipes réseau et sécurité doivent agir selon un plan d’action structuré et sans délai.
Appliquer tous les correctifs de firmware Fortinet disponibles. Les trois vulnérabilités CVE-2025-59718, CVE-2025-59719 et CVE-2026-24858 disposent de correctifs publiés. Aucune excuse ne justifie de les laisser non appliqués.
Remplacer immédiatement tous les identifiants LDAP et AD liés aux FortiGate. En effet, si un équipement a été compromis, les identifiants extraits du fichier de configuration sont potentiellement entre les mains des attaquants. De ce fait, changer ces identifiants coupe l’accès aux comptes déjà volés.
Surveiller les comptes administrateurs locaux suspects. Les attaquants créent systématiquement des comptes locaux aux noms génériques — « support », « ssl-admin », « helpdesk ». Par conséquent, un audit régulier des comptes administrateurs FortiGate permet de détecter rapidement une intrusion.
Mettre en place une conservation minimale de 14 jours des journaux FortiGate. SentinelOne recommande une durée de 60 à 90 jours. En effet, une conservation insuffisante empêche toute investigation après incident et rend la portée d’une attaque impossible à évaluer.
Vérifier l’attribut mS-DS-MachineAccountQuota pour restreindre les connexions non autorisées de postes de travail au domaine Active Directory. Par ailleurs, auditer régulièrement les règles de pare-feu pour détecter des politiques permissives anormalement larges.
Activer la surveillance EDR sur les serveurs adjacents aux FortiGate. En effet, les appliances FortiGate ne peuvent pas héberger d’outils de détection des points de terminaison. Ainsi, la surveillance doit porter sur les serveurs environnants pour détecter les mouvements latéraux depuis un FortiGate compromis.
Conclusion
Le pare-feu FortiGate exploité en ce début 2026 confirme une tendance lourde : les équipements de sécurité périmétrique sont désormais des cibles prioritaires pour les cybercriminels les plus organisés. En effet, compromettre un pare-feu, c’est retourner l’outil de défense contre son propriétaire. Par conséquent, les organisations africaines et mondiales qui s’appuient sur FortiGate comme première ligne de défense doivent traiter ces correctifs comme une urgence absolue. Ainsi, patcher, changer les identifiants, surveiller les journaux et auditer les règles de pare-feu constituent les quatre piliers d’une réponse efficace à cette vague d’attaques toujours active.
Source : cybersecuritynews
