CISA نقص CLI محصولات Fortinet (CVE-2025-61624) را پس از پیوند دادن آن به ایمپلنت PEERSTITCH توسط Unit 42 در فهرست بهره‌برداری‌شده‌ها قرار داد

آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) در 16 اکتبر، CVE-2025-61624، یک آسیب‌پذیری پیمایش مسیر (path traversal) در چند محصول Fortinet، را با استناد به شواهد بهره‌برداری فعال به فهرست آسیب‌پذیری‌های بهره‌برداری‌شده شناخته‌شده (KEV) خود افزود. همین به‌روزرسانی CVE-2026-102764، یک دور زدن احراز هویت در BeyondTrust Remote Support، را نیز در فهرست قرار داد. CISA همه سازمان‌ها را تشویق می‌کند که رفع نقص‌های فهرست‌شده در این کاتالوگ را در اولویت قرار دهند.

توصیه‌نامه FG-IR-26-122 شرکت Fortinet که نخستین بار در 2026-04-14 منتشر شد، یک ضعف پیمایش مسیر (CWE-22) را در رابط خط فرمان (CLI) مشترک میان FortiOS، FortiProxy، FortiPAM و FortiSwitchManager توصیف می‌کند. به گفته Fortinet، مهاجمی که از پیش دسترسی ممتاز دارد می‌تواند آرگومان‌های دستکاری‌شده‌ای را به فرمان‌های موجود بدهد تا فایل‌های دلخواه را بنویسد یا حذف کند. این شرکت شدت مشکل را متوسط با امتیاز CVSSv3 برابر 6.0 ارزیابی می‌کند، آن را به‌عنوان نقصی نیازمند احراز هویت با اثر ارتقای امتیاز طبقه‌بندی می‌کند و آن را به‌عنوان بهره‌برداری‌شده شناخته‌شده علامت‌گذاری کرده است. FortiOS در نسخه‌های 7.6.5 و 7.4.10 یا بالاتر اصلاح شده است، در حالی که هیچ‌یک از نسخه‌های شاخه‌های 7.2، 7.0 و 6.4 اصلاحیه ندارند و باید به یک نسخه اصلاح‌شده منتقل شوند. Fortinet نسخه‌های FortiProxy 7.6.5 و 7.4.12، FortiPAM 1.7.1 و FortiSwitchManager 7.2.8 و 7.0.7 را به‌عنوان نسخه‌های اصلاح‌شده فهرست می‌کند و شاخه‌های قدیمی‌تر FortiProxy و FortiPAM نیز نیازمند مهاجرت هستند. بر اساس این توصیه‌نامه، یک وصله مجازی از طریق پایگاه داده FMWP شرکت Fortinet در دسترس است.

Unit 42 شرکت Palo Alto Networks این نقص را به نفوذی در یک ارائه‌دهنده خدمات مدیریت‌شده (MSP) مخابراتی مرتبط دانست که آن را به سپتامبر 2024 بازمی‌گرداند و با نام CL-STA-0954، که با نام UNC5820 نیز شناخته می‌شود، ردیابی می‌کند. به گفته Unit 42، مهاجمان ابتدا از CVE-2024-47575 روی یک دستگاه مرکزی FortiManager بهره‌برداری کردند و آرشیوی شامل پیکربندی‌های در حال اجرا، مواد رمزنگاری و پایگاه‌های داده مربوط به بیش از 500 فایروال FortiGate مدیریت‌شده را که هم از ارائه‌دهنده و هم از مشتریانش محافظت می‌کردند، برداشتند. پژوهشگران گفتند مهاجمان بعداً اعتبارنامه‌ها را از آن فایل‌ها بازیابی کردند، نشست‌های SSL VPN باز کردند و از CVE-2025-61624 از طریق قابلیت auto-script در FortiOS سوءاستفاده کردند تا از دسترسی مدیر به root برسند. از این دسترسی برای نصب PEERSTITCH استفاده شد، که Unit 42 آن را یک ایمپلنت جدید مقیم در حافظه برای ARM64 توصیف می‌کند که هیچ باینری ماندگاری روی دیسک نمی‌نویسد، هیچ پورت شنونده‌ای باز نمی‌کند و هیچ اتصال خروجی برقرار نمی‌کند و در عوض بر ترافیک فرایندهای مشروع سوار می‌شود.

Unit 42 همچنین از یک کانال reverse shell گزارش داد که با سوءاستفاده از ماژول mod_md سرور Apache روی فایروال‌ها ساخته شده بود، و نیز از اقدامات ضدجرم‌شناسی مانند متوقف کردن دیمن‌های ثبت رویداد، پاک کردن لاگ‌های کرش و حذف حساب‌های جعلی و اشیای auto-script اندکی پس از استفاده. این تیم گفت برخی از کارهایی که مهاجمان پس از کسب دسترسی انجام دادند به نفوذهایی شباهت دارد که به بازیگران مظنون دولتی نسبت داده شده‌اند، و با اطمینان متوسط ارزیابی کرد که مهاجمان با جعل هویت FortiManager پیکربندی‌ها را از فایروال‌های دیگر کشیده‌اند. Unit 42 تأکید کرد که تحقیقاتش تنها محیط خود ارائه‌دهنده را پوشش داده است: شبکه‌های مشتریان را بررسی نکرده و آنچه مستند می‌کند افشای پیکربندی‌ها و اعتبارنامه‌های فایروال مشتریان است، نه رخنه تأییدشده به خود شبکه‌های مشتریان.

برای مدافعان، گام فوری ارتقای محصولات آسیب‌دیده Fortinet یا مهاجرت از شاخه‌هایی است که اصلاحیه ندارند. Unit 42 توصیه می‌کند بازبینی‌های پیکربندی FortiOS برای یافتن اشیای auto-script که نامشان شامل رشته‌های پیمایش دایرکتوری است بررسی شود، لاگ‌های کرش برای خطاهای segmentation fault در دیمن‌های ثبت رویداد، IKE و syslog وارسی شود، نواحی حافظه اجرایی غیرعادی در دیمن‌های ثبت رویداد و VPN جست‌وجو شود و نوشتن‌های حافظه میان‌فرایندی بین آن‌ها ممیزی شود. پژوهشگران همچنین توصیه کردند که اعتبارنامه‌ها و گواهی‌های نگهداری‌شده در یک پلتفرم مدیریتی به محض به خطر افتادن آن پلتفرم، به‌خطرافتاده تلقی شوند، زیرا این مواد اعتماد تا زمان تعویض معتبر باقی می‌مانند. Unit 42 نوشت: «این به‌خطرافتادگی همچنین با وصله شدن پلتفرم پایان نمی‌یابد».