CISA zařadila chybu v CLI produktů Fortinet CVE-2025-61624 mezi zneužívané poté, co ji Unit 42 spojila s implantátem PEERSTITCH

Americká Agentura pro kybernetickou a infrastrukturní bezpečnost (CISA) zařadila 16. října CVE-2025-61624, zranitelnost typu path traversal (procházení adresářů) v několika produktech společnosti Fortinet, do svého katalogu známých zneužívaných zranitelností (KEV) s odkazem na důkazy o aktivním zneužívání. Stejná aktualizace uvedla také CVE-2026-102764, obejití autentizace v BeyondTrust Remote Support. CISA vyzývá všechny organizace, aby daly opravě chyb uvedených v katalogu prioritu.

Bezpečnostní upozornění společnosti Fortinet FG-IR-26-122, poprvé zveřejněné 2026-04-14, popisuje slabinu typu path traversal (CWE-22) v rozhraní příkazového řádku (CLI), které sdílejí FortiOS, FortiProxy, FortiPAM a FortiSwitchManager. Podle společnosti Fortinet by útočník, který již má privilegovaný přístup, mohl existujícím příkazům předat speciálně upravené argumenty a zapisovat nebo mazat libovolné soubory. Výrobce hodnotí problém jako středně závažný (Medium) se skóre CVSSv3 6,0, klasifikuje jej jako autentizovaný s dopadem eskalace oprávnění a označuje jej za známě zneužívaný. Ve FortiOS je chyba opravena ve verzích 7.6.5 a 7.4.10 nebo novějších, zatímco žádné vydání větví 7.2, 7.0 a 6.4 opravu nemá a je nutné přejít na opravené vydání. Jako opravené verze uvádí Fortinet FortiProxy 7.6.5 a 7.4.12, FortiPAM 1.7.1 a FortiSwitchManager 7.2.8 a 7.0.7, přičemž starší větve FortiProxy a FortiPAM rovněž vyžadují migraci. Prostřednictvím databáze FMWP společnosti Fortinet je k dispozici virtuální záplata, uvádí upozornění.

Unit 42 ze společnosti Palo Alto Networks spojila chybu s průnikem u telekomunikačního poskytovatele spravovaných služeb (MSP), který datuje do září 2024 a sleduje pod označením CL-STA-0954, známým také jako UNC5820. Podle Unit 42 útočníci nejprve zneužili CVE-2024-47575 na centrálním zařízení FortiManager a odnesli si archiv s běžícími konfiguracemi, kryptografickým materiálem a databázemi pokrývajícími více než 500 spravovaných firewallů FortiGate, které chránily poskytovatele i jeho klienty. Výzkumníci uvedli, že útočníci později z těchto souborů získali přihlašovací údaje, otevřeli relace SSL VPN a zneužili CVE-2025-61624 prostřednictvím funkce auto-script ve FortiOS, aby se z administrátorského přístupu dostali k právům root. Tento přístup byl použit k instalaci PEERSTITCH, který Unit 42 popisuje jako nový implantát pro ARM64 rezidentní v paměti, jenž nezapisuje na disk žádný perzistentní binární soubor, neotevírá žádné naslouchající porty a nenavazuje žádná odchozí spojení, ale místo toho se přiživuje na provozu legitimních procesů.

Unit 42 rovněž informovala o kanálu typu reverse shell vytvořeném zneužitím modulu Apache mod_md na firewallech a o antiforenzních krocích, jako je zastavení démonů pro logování, mazání záznamů o pádech (crash logs) a odstraňování podvržených účtů a objektů auto-script krátce po použití. Uvedla, že část toho, co útočníci po získání přístupu dělali, připomíná průniky, které byly spojovány s údajnými státními aktéry, a se střední mírou jistoty vyhodnotila, že se útočníci vydávali za FortiManager, aby stáhli konfigurace z dalších firewallů. Unit 42 zdůraznila, že její vyšetřování pokrývalo pouze vlastní prostředí poskytovatele: nezkoumala sítě klientů a to, co dokumentuje, je odhalení konfigurací a přihlašovacích údajů klientských firewallů, nikoli potvrzený průnik do samotných sítí klientů.

Pro obránce je okamžitým krokem aktualizace dotčených produktů Fortinet nebo migrace větví, které opravu nemají. Unit 42 doporučuje zkontrolovat revize konfigurace FortiOS a hledat objekty auto-script, jejichž názvy obsahují řetězce pro procházení adresářů, prověřit záznamy o pádech (crash logs) na chyby segmentace v démonech pro logování, IKE a syslog, hledat neobvyklé spustitelné oblasti paměti v démonech pro logování a VPN a auditovat zápisy do paměti mezi těmito procesy. Výzkumníci také doporučili považovat přihlašovací údaje a certifikáty uložené ve správní platformě za kompromitované, jakmile je kompromitována platforma, protože tento materiál důvěry zůstává platný, dokud není obměněn. „Tato kompromitace také nekončí tím, že je platforma záplatována,“ napsala Unit 42.