CISA führt Fortinet-CLI-Lücke CVE-2025-61624 als ausgenutzt, nachdem Unit 42 sie mit dem PEERSTITCH-Implantat in Verbindung bringt

Die US-Cybersicherheitsbehörde CISA (Cybersecurity and Infrastructure Security Agency) hat am 16. Oktober CVE-2025-61624, eine Path-Traversal-Schwachstelle in mehreren Fortinet-Produkten, unter Verweis auf Belege für aktive Ausnutzung in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Dasselbe Update listete auch CVE-2026-102764, eine Umgehung der Authentifizierung in BeyondTrust Remote Support. CISA ruft alle Organisationen dazu auf, der Behebung der im Katalog aufgeführten Schwachstellen Priorität einzuräumen.

Das erstmals am 2026-04-14 veröffentlichte Fortinet-Advisory FG-IR-26-122 beschreibt eine Path-Traversal-Schwäche (CWE-22) in der Kommandozeilenschnittstelle (CLI), die FortiOS, FortiProxy, FortiPAM und FortiSwitchManager gemeinsam nutzen. Laut Fortinet könnte ein Angreifer, der bereits über privilegierten Zugriff verfügt, vorhandenen Befehlen präparierte Argumente übergeben, um beliebige Dateien zu schreiben oder zu löschen. Der Hersteller stuft das Problem mit einem CVSSv3-Wert von 6,0 als Medium ein, klassifiziert es als authentifiziert mit der Auswirkung einer Rechteausweitung (Escalation of Privilege) und kennzeichnet es als bekanntermaßen ausgenutzt. FortiOS ist in 7.6.5 und 7.4.10 oder neuer behoben, während für sämtliche Versionen der Zweige 7.2, 7.0 und 6.4 kein Fix existiert und sie auf eine behobene Version migriert werden müssen. Fortinet nennt FortiProxy 7.6.5 und 7.4.12, FortiPAM 1.7.1 sowie FortiSwitchManager 7.2.8 und 7.0.7 als behobene Versionen; ältere FortiProxy- und FortiPAM-Zweige erfordern ebenfalls eine Migration. Über die FMWP-Datenbank von Fortinet ist ein virtueller Patch verfügbar, heißt es im Advisory.

Palo Alto Networks Unit 42 brachte die Schwachstelle mit einem Angriff auf einen Managed Service Provider (MSP) aus dem Telekommunikationssektor in Verbindung, den das Team auf September 2024 datiert und als CL-STA-0954, auch bekannt als UNC5820, verfolgt. Laut Unit 42 nutzten die Angreifer zunächst CVE-2024-47575 auf einer zentralen FortiManager-Appliance aus und entwendeten ein Archiv mit laufenden Konfigurationen, kryptografischem Material und Datenbanken zu mehr als 500 verwalteten FortiGate-Firewalls, die sowohl den Provider als auch seine Kunden schützten. Die Forscher sagten, die Angreifer hätten später Zugangsdaten aus diesen Dateien gewonnen, Sitzungen über SSL VPN geöffnet und CVE-2025-61624 über die Auto-Script-Funktion von FortiOS missbraucht, um von Administratorzugriff zu Root zu gelangen. Dieser Zugriff wurde genutzt, um PEERSTITCH zu installieren, das Unit 42 als neues speicherresidentes ARM64-Implantat beschreibt, das keine persistente Binärdatei auf die Festplatte schreibt, keine lauschenden Ports öffnet und keine ausgehenden Verbindungen aufbaut, sondern stattdessen den Datenverkehr legitimer Prozesse mitnutzt.

Unit 42 berichtete außerdem von einem Reverse-Shell-Kanal, der durch Missbrauch des Apache-Moduls mod_md auf den Firewalls aufgebaut wurde, sowie von Anti-Forensik-Schritten wie dem Stoppen von Logging-Daemons, dem Löschen von Crash-Logs und dem Entfernen unberechtigter Konten und Auto-Script-Objekte kurz nach deren Nutzung. Einiges von dem, was die Angreifer nach dem Zugriff taten, ähnele Angriffen, die mit mutmaßlich staatlichen Akteuren in Verbindung gebracht wurden, hieß es; mit mittlerer Zuversicht bewertete Unit 42, dass die Angreifer den FortiManager imitierten, um Konfigurationen von anderen Firewalls abzurufen. Unit 42 betonte, dass seine Untersuchung nur die eigene Umgebung des Providers umfasste: Die Kundennetzwerke wurden nicht untersucht, und dokumentiert wird die Offenlegung von Firewall-Konfigurationen und Zugangsdaten der Kunden, nicht ein bestätigter Einbruch in die Kundennetzwerke selbst.

Für Verteidiger besteht der unmittelbare Schritt darin, betroffene Fortinet-Produkte zu aktualisieren oder Zweige ohne Fix zu migrieren. Unit 42 empfiehlt, FortiOS-Konfigurationsrevisionen auf Auto-Script-Objekte zu prüfen, deren Namen Directory-Traversal-Zeichenfolgen enthalten, Crash-Logs auf Segmentation Faults in den Logging-, IKE- und Syslog-Daemons zu kontrollieren, nach ungewöhnlichen ausführbaren Speicherbereichen in den Logging- und VPN-Daemons zu suchen und prozessübergreifende Speicherschreibvorgänge zwischen ihnen zu auditieren. Die Forscher rieten zudem, von einer Verwaltungsplattform gehaltene Zugangsdaten und Zertifikate als kompromittiert zu behandeln, sobald die Plattform es ist, da dieses Vertrauensmaterial bis zur Rotation gültig bleibt. „Diese Kompromittierung endet auch nicht, wenn die Plattform gepatcht wird“, schrieb Unit 42.