CISA تدرج ثغرة Fortinet في واجهة الأوامر CVE-2025-61624 كمستغلة بعد أن ربطتها Unit 42 بالغرسة PEERSTITCH

أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) في 16 أكتوبر الثغرة CVE-2025-61624، وهي ثغرة اجتياز مسار (path traversal) في عدة منتجات من Fortinet، إلى فهرس الثغرات المستغلة المعروفة (KEV) لديها، مستندةً إلى أدلة على استغلال نشط. وأدرج التحديث نفسه أيضًا الثغرة CVE-2026-102764، وهي تجاوز للمصادقة في BeyondTrust Remote Support. وتشجع CISA جميع المؤسسات على إعطاء الأولوية لإصلاح الثغرات المدرجة في الفهرس.

تصف نشرة Fortinet الاستشارية FG-IR-26-122، التي نُشرت لأول مرة في 2026-04-14، ضعفًا من نوع اجتياز المسار (CWE-22) في واجهة سطر الأوامر المشتركة بين FortiOS وFortiProxy وFortiPAM وFortiSwitchManager. ووفقًا لـ Fortinet، يمكن لمهاجم يملك بالفعل وصولًا مميزًا أن يمرر وسائط مُعدّة خصيصًا إلى أوامر موجودة من أجل كتابة ملفات عشوائية أو حذفها. وتصنّف الشركة المشكلة بدرجة متوسطة مع تقييم CVSSv3 يبلغ 6.0، وتصفها بأنها تتطلب مصادقة وذات تأثير يتمثل في تصعيد الصلاحيات، وتضع عليها علامة الاستغلال المعروف. وقد أُصلح FortiOS في الإصدارين 7.6.5 و7.4.10 أو الأحدث، في حين لا يوجد إصلاح لأي إصدار من الفروع 7.2 و7.0 و6.4 ويجب الانتقال منها إلى إصدار مُصلَح. وتدرج Fortinet الإصدارات FortiProxy 7.6.5 و7.4.12 وFortiPAM 1.7.1 وFortiSwitchManager 7.2.8 و7.0.7 كإصدارات مُصلَحة، مع ضرورة الانتقال أيضًا من الفروع الأقدم لـ FortiProxy وFortiPAM. وتفيد النشرة بأن تصحيحًا افتراضيًا (virtual patch) متاح عبر قاعدة بيانات FMWP التابعة لـ Fortinet.

ربطت Unit 42 التابعة لـ Palo Alto Networks الثغرة باختراق لدى مزود خدمات مُدارة (MSP) في قطاع الاتصالات تؤرّخه بسبتمبر 2024 وتتابعه تحت الاسم CL-STA-0954، المعروف أيضًا بـ UNC5820. ووفقًا لـ Unit 42، استغل المهاجمون أولًا الثغرة CVE-2024-47575 في جهاز FortiManager مركزي واستولوا على أرشيف يحوي التكوينات العاملة ومواد تشفير وقواعد بيانات تغطي أكثر من 500 جدار ناري FortiGate مُدار كانت تحمي المزود وعملاءه على حد سواء. وقال الباحثون إن المهاجمين استخرجوا لاحقًا بيانات اعتماد من تلك الملفات، وفتحوا جلسات SSL VPN، وأساؤوا استخدام الثغرة CVE-2025-61624 عبر ميزة auto-script في FortiOS للانتقال من وصول المسؤول إلى صلاحيات root. واستُخدم ذلك الوصول لتثبيت PEERSTITCH، التي تصفها Unit 42 بأنها غرسة جديدة مقيمة في الذاكرة لمعمارية ARM64 لا تكتب أي ملف ثنائي دائم على القرص، ولا تفتح أي منافذ استماع، ولا تجري أي اتصالات صادرة، بل تتطفل بدلًا من ذلك على حركة مرور عمليات مشروعة.

وأفادت Unit 42 أيضًا بوجود قناة reverse shell (صَدَفة عكسية) بُنيت عبر إساءة استخدام وحدة Apache mod_md على الجدران النارية، وبخطوات مضادة للتحليل الجنائي مثل إيقاف برامج التسجيل الخفية (daemons)، ومسح سجلات الأعطال، وحذف الحسابات الدخيلة وكائنات auto-script بعد وقت قصير من استخدامها. وقالت إن بعض ما فعله المهاجمون بعد الحصول على الوصول يشبه اختراقات رُبطت بجهات يُشتبه في أنها تابعة لدول، وقدّرت بثقة متوسطة أن المهاجمين انتحلوا هوية FortiManager لسحب التكوينات من جدران نارية أخرى. وشددت Unit 42 على أن تحقيقها غطى بيئة المزود الخاصة فقط: فهي لم تفحص شبكات العملاء، وما توثقه هو انكشاف تكوينات جدران العملاء النارية وبيانات اعتمادهم، وليس اختراقًا مؤكدًا لشبكات العملاء نفسها.

بالنسبة إلى المدافعين، الخطوة الفورية هي تحديث منتجات Fortinet المتأثرة أو الانتقال من الفروع التي لا يوجد لها إصلاح. وتوصي Unit 42 بمراجعة مراجعات تكوين FortiOS بحثًا عن كائنات auto-script تحتوي أسماؤها على سلاسل اجتياز الدلائل، وفحص سجلات الأعطال بحثًا عن أخطاء تجزئة (segmentation faults) في برامج التسجيل وIKE وsyslog الخفية، والبحث عن مناطق ذاكرة تنفيذية غير معتادة في برامج التسجيل وVPN الخفية، ومراجعة عمليات الكتابة في الذاكرة بين العمليات فيما بينها. ونصح الباحثون أيضًا بالتعامل مع بيانات الاعتماد والشهادات التي تحتفظ بها منصة إدارة على أنها مخترقة بمجرد اختراق المنصة، لأن مواد الثقة هذه تبقى صالحة حتى يتم تدويرها. وكتبت Unit 42: «ذلك الاختراق أيضًا لا ينتهي عند تصحيح المنصة».