La CISA cataloga como explotada la falla CLI de Fortinet CVE-2025-61624 tras vincularla Unit 42 al implante PEERSTITCH

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió el 16 de octubre CVE-2025-61624, una vulnerabilidad de salto de directorio (path traversal) en varios productos de Fortinet, a su catálogo de vulnerabilidades explotadas conocidas (KEV), citando pruebas de explotación activa. La misma actualización también incluyó CVE-2026-102764, una omisión de autenticación en BeyondTrust Remote Support. La CISA anima a todas las organizaciones a priorizar la corrección de las fallas incluidas en el catálogo.

El aviso FG-IR-26-122 de Fortinet, publicado inicialmente el 2026-04-14, describe una debilidad de salto de directorio (CWE-22) en la interfaz de línea de comandos compartida por FortiOS, FortiProxy, FortiPAM y FortiSwitchManager. Según Fortinet, un atacante que ya posea acceso privilegiado podría pasar argumentos manipulados a comandos existentes para escribir o borrar archivos arbitrarios. El fabricante califica el problema como medio con una puntuación CVSSv3 de 6,0, lo clasifica como autenticado con impacto de escalada de privilegios y lo marca como explotado de forma conocida. FortiOS está corregido en 7.6.5 y 7.4.10 o posteriores, mientras que ninguna versión de las ramas 7.2, 7.0 y 6.4 tiene corrección y debe migrarse a una versión corregida. Fortinet enumera FortiProxy 7.6.5 y 7.4.12, FortiPAM 1.7.1 y FortiSwitchManager 7.2.8 y 7.0.7 como versiones corregidas, y las ramas más antiguas de FortiProxy y FortiPAM también requieren migración. Un parche virtual está disponible a través de la base de datos FMWP de Fortinet, indica el aviso.

Palo Alto Networks Unit 42 vinculó la falla a una intrusión en un proveedor de servicios gestionados (MSP) de telecomunicaciones que data de septiembre de 2024 y que rastrea como CL-STA-0954, también conocido como UNC5820. Según Unit 42, los atacantes primero explotaron CVE-2024-47575 en un dispositivo FortiManager central y se llevaron un archivo comprimido con configuraciones en ejecución, material criptográfico y bases de datos que cubrían más de 500 cortafuegos FortiGate gestionados que protegían tanto al proveedor como a sus clientes. Los investigadores dijeron que los atacantes recuperaron después credenciales de esos archivos, abrieron sesiones SSL VPN y abusaron de CVE-2025-61624 mediante la función auto-script de FortiOS para pasar de acceso de administrador a root. Ese acceso se usó para instalar PEERSTITCH, que Unit 42 describe como un nuevo implante ARM64 residente en memoria que no escribe ningún binario persistente en disco, no abre puertos en escucha y no realiza conexiones salientes, sino que se apoya en el tráfico de procesos legítimos.

Unit 42 también informó de un canal de reverse shell construido abusando del módulo Apache mod_md en los cortafuegos, y de pasos antiforenses como detener los demonios de registro, borrar los registros de fallos (crash logs) y eliminar cuentas ilegítimas y objetos auto-script poco después de usarlos. Señaló que parte de lo que hicieron los atacantes tras obtener acceso se asemeja a intrusiones que se han vinculado a presuntos actores estatales, y evaluó con confianza media que los atacantes suplantaron al FortiManager para extraer configuraciones de otros cortafuegos. Unit 42 subrayó que su investigación abarcó solo el entorno propio del proveedor: no examinó las redes de los clientes, y lo que documenta es la exposición de configuraciones y credenciales de cortafuegos de clientes, no una brecha confirmada de las propias redes de los clientes.

Para los defensores, el paso inmediato es actualizar los productos Fortinet afectados o migrar las ramas que no tienen corrección. Unit 42 recomienda revisar las revisiones de configuración de FortiOS en busca de objetos auto-script cuyos nombres contengan cadenas de salto de directorio, comprobar los registros de fallos en busca de fallos de segmentación en los demonios de registro, IKE y syslog, buscar regiones de memoria ejecutable inusuales en los demonios de registro y VPN, y auditar las escrituras de memoria entre procesos entre ellos. Los investigadores también aconsejaron tratar las credenciales y certificados que posee una plataforma de gestión como comprometidos tan pronto como lo esté la plataforma, ya que ese material de confianza sigue siendo válido hasta que se rota. «Ese compromiso tampoco termina cuando la plataforma se parchea», escribió Unit 42.