De waarschuwing

Het Nationaal Cyber Security Centrum (NCSC) heeft op 21 april 2026 een HIGH/HIGH-waarschuwing uitgegeven voor actieve exploitatie van twee kritieke kwetsbaarheden in Fortinet FortiGate-firewalls (CVE-2026-3847 en CVE-2026-3848). Meerdere Nederlandse overheidsorganisaties zijn bevestigd als doelwit.

Technische details

De kwetsbaarheden bevinden zich in de SSL-VPN-module van FortiOS versies 7.2.x tot 7.4.x. Exploitatie geeft aanvallers de mogelijkheid om op afstand code uit te voeren met root-privileges, zonder authenticatie. Fortinet heeft op 19 april patches uitgebracht, maar de exploitatie was al gaande voordat de patches beschikbaar waren (zero-day).

Attributie

Het NCSC en de AIVD schrijven de aanvallen toe aan een Chinese APT-groep (Advanced Persistent Threat). Dit past in een breder patroon van Chinese spionageactiviteiten gericht op Europese overheden en kritieke infrastructuur.

Vereiste acties

  • Onmiddellijk: Patch alle FortiGate-apparaten naar de laatst beschikbare versie
  • Binnen 48 uur: Controleer logbestanden op indicators of compromise (IoCs) gepubliceerd door het NCSC
  • Binnen een week: Voer een volledige netwerkscan uit op systemen achter FortiGate-firewalls
  • Structureel: Implementeer network detection and response (NDR) om laterale beweging vroegtijdig te detecteren