[{"data":1,"prerenderedAt":91},["ShallowReactive",2],{"sujet-tech-cyberattaques-b7f2205f93ca0def":3},{"sujet":4,"aJournal":39,"liesSujets":40,"voisins":61},{"id":5,"rubrique":6,"sousTheme":7,"region":8,"titre":9,"resume":10,"date":11,"nbSources":12,"articles":13,"extraitOfficiel":17,"attribution":36,"extraitUrl":16,"faitsCles":37},"tech-cyberattaques-b7f2205f93ca0def","tech","cyberattaques",null,"Activités de post-exploitation dans Fortinet FortiGate","L'éditeur indique que les clients qui n'ont jamais activé la fonctionnalité de SSL-VPN ne sont pas impactés. Fortinet a publié le 10 avril 2025 un billet de blogue [1] indiquant l'utilisation d'une technique de post-exploitation qui permet une atteinte à la confidentialité des données de l'ensemble du système des équipements Fortigate affectés.","2025-04-11",1,[14],{"titre":9,"editeur":15,"url":16,"date":11},"CERT-FR — ANSSI","https:\u002F\u002Fwww.cert.ssi.gouv.fr\u002Falerte\u002FCERTFR-2025-ALE-004\u002F",[18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35],"L'éditeur indique que les clients qui n'ont jamais activé la fonctionnalité de SSL-VPN ne sont pas impactés.","## Résumé","Fortinet a publié le 10 avril 2025 un billet de blogue [1] indiquant l'utilisation d'une technique de post-exploitation qui permet une atteinte à la confidentialité des données de l'ensemble du système des équipements Fortigate affectés. Cette technique repose sur l'utilisation d'un lien symbolique déposé sur le système à la suite d'une compromission de l'équipement par exploitation, entre autres, des vulnérabilités CVE-2022-42475 [2], CVE-2023-27997 [3] ou CVE-2024-21762 [4].","Le CERT-FR a connaissance d'une campagne massive, avec de nombreux équipements compromis en France. Lors d'opérations de réponse à incident, le CERT-FR a pris connaissance de compromissions ayant eu lieu dès le début de l'année 2023.","## Solutions","L'éditeur a publié des versions correctives pour les branches 6.4.x, 7.0.x, 7.2.x, 7.4.x et 7.6.x. La mise à jour vers une de ces versions supprime les fichiers malveillants. Dans le cas de l'utilisation d'une version qui n'est plus supportée, le CERT-FR recommande fortement de migrer vers une version corrective.","Pour les utilisateurs avec un contrat de support et une licence IPS activée, l'éditeur a supprimé automatiquement les fichiers malveillants. Le CERT-FR a connaissance de nombreux équipements pour lesquels ces conditions ne sont pas réunies.","L'éditeur a indiqué avoir contacté les clients avec des équipements compromis. Le CERT-FR invite les propriétaires d'équipements à consulter les adresses de messageries pouvant avoir été contactées par Fortinet ou à relayer cette demande aux gestionnaires de l'équipement si cela est applicable.","Cependant, la simple suppression de ces éléments et l'application des mises à jour n'est pas suffisante en cas de compromission. Dans cette situation:","- isoler les équipements compromis du réseau et réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique) à des fins d’investigations approfondies ;","- réinitialiser tous les secrets de façon générale (mot de passe, certificat, etc.) configurés sur les équipements affectés ;","- réinitialiser tous les secrets d’authentification susceptibles d’avoir transités sur les équipements affectés (si applicable) : mots de passe, jetons d'identité, clés cryptographiques...;","- rechercher toutes traces de latéralisation sur le reste du système d’information, notamment : en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement compromis ;","- puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion ;","- en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l'équipement compromis.","- identifier les comptes du domaine Active Directory qui seraient configurés sur l'équipement suspecté puis : vérifier l'activité réalisée à partir de ce compte ;","- réinitialiser les secrets associés à ces comptes afin d'éviter que l'attaquant ne puisse réutiliser ailleurs les identifiants éventuellement obtenus sur l'équipement.","Le CERT-FR vous recontactera si nécessaire pour le traitement de l’incident ou vous communiquera des éléments supplémentaires. En cas de suspicion de compromission, il est recommandé de consulter les bons réflexes en cas d'intrusion sur votre système d'information [5].","Texte officiel reproduit — ANSSI, Licence Ouverte \u002F Etalab 2.0",[38],"Fortinet a publié le 10 avril 2025 un billet de blogue [1] indiquant l'utilisation d'une technique de post-exploitation qui permet une atteinte à la confidentialité des données de l'ensemble du système des équipements Fortigate affectés.",true,[41,45,49,53,57],{"id":42,"rubrique":6,"titre":43,"date":44,"nbSources":12},"tech-cyberattaques-8f84fc91b835d7e4","Vulnérabilité dans Fortinet FortiMail (02 octobre 2026)","2026-10-02",{"id":46,"rubrique":6,"titre":47,"date":48,"nbSources":12},"tech-cyberattaques-d69a3ad5b5f58490","Multiples vulnérabilités dans les produits Fortinet (13 août 2026)","2026-08-18",{"id":50,"rubrique":6,"titre":51,"date":52,"nbSources":12},"tech-reglementation-afdec576deee238c","Attribution de fréquences dans les bandes 1518-1559 MHz, 1610-1660,5 MHz, 1670-1675 MHz et 2483,5-2500 MHz pour l’exploitation de services mobiles par satellite (26 septembre 2025)","2026-07-20",{"id":54,"rubrique":6,"titre":55,"date":56,"nbSources":12},"tech-cyberattaques-1152c54e29f1c338","[MàJ] Vulnérabilité dans les produits Fortinet","2025-05-13",{"id":58,"rubrique":6,"titre":59,"date":60,"nbSources":12},"tech-cyberattaques-a72db7e83a274cdf","[MàJ] Multiples vulnérabilités dans Fortinet FortiManager","2024-10-30",[62,65,68,71,74,76,79,82,85,88],{"nom":63,"path":64},"Multiples vulnérabilités dans Microsoft Sharepoint (22 juillet 2026)","\u002Fsujet\u002Ftech-cyberattaques-c7cefb778e0d79e4",{"nom":66,"path":67},"Multiples vulnérabilités dans les produits IBM (25 septembre 2026)","\u002Fsujet\u002Ftech-cyberattaques-3ef18b5f44e9dd37",{"nom":69,"path":70},"Multiples vulnérabilités dans CPython (01 octobre 2026)","\u002Fsujet\u002Ftech-cyberattaques-c31045fa0bfba673",{"nom":72,"path":73},"Vulnérabilités de produits du secteur santé : Retour d'expérience du CERT Santé et du CERT-FR (02 octobre 2026)","\u002Fsujet\u002Ftech-cyberattaques-705de23f4ef2d2bc",{"nom":43,"path":75},"\u002Fsujet\u002Ftech-cyberattaques-8f84fc91b835d7e4",{"nom":77,"path":78},"Vulnérabilité dans Cisco Catalyst SD-WAN (01 octobre 2026)","\u002Fsujet\u002Ftech-cyberattaques-b13afccb7820596a",{"nom":80,"path":81},"Cybermois 2026 : la CNIL et Cybermalveillance.gouv.fr publient une nouvelle ressource pour adopter les bons réflexes face à une violation de données","\u002Fsujet\u002Ftech-cyberattaques-42b7525feb707844",{"nom":83,"path":84},"Vulnérabilité dans Metabase (10 septembre 2026)","\u002Fsujet\u002Ftech-cyberattaques-7736d2482fb0962d",{"nom":86,"path":87},"Multiples vulnérabilités dans HPE Aruba Networking Instant On (30 septembre 2026)","\u002Fsujet\u002Ftech-cyberattaques-003834c356ca8979",{"nom":89,"path":90},"Point de situation de l’opération REACTIV – septembre 2026 (30 septembre 2026)","\u002Fsujet\u002Ftech-cyberattaques-c6ad0bf2efe26a1b",1791137632163]