La CISA classe la faille CLI Fortinet CVE-2025-61624 comme exploitée après que Unit 42 l'a liée à l'implant PEERSTITCH

L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté le 16 octobre CVE-2025-61624, une vulnérabilité de traversée de répertoire (path traversal) présente dans plusieurs produits Fortinet, à son catalogue des vulnérabilités exploitées connues (KEV), en invoquant des preuves d'exploitation active. La même mise à jour a également inscrit CVE-2026-102764, un contournement d'authentification dans BeyondTrust Remote Support. La CISA encourage toutes les organisations à corriger en priorité les failles répertoriées dans le catalogue.

L'avis FG-IR-26-122 de Fortinet, publié initialement le 2026-04-14, décrit une faiblesse de traversée de répertoire (CWE-22) dans l'interface en ligne de commande commune à FortiOS, FortiProxy, FortiPAM et FortiSwitchManager. Selon Fortinet, un attaquant disposant déjà d'un accès privilégié pourrait transmettre des arguments spécialement conçus à des commandes existantes afin d'écrire ou de supprimer des fichiers arbitraires. L'éditeur évalue le problème comme moyen avec un score CVSSv3 de 6,0, le classe comme authentifié avec un impact d'élévation de privilèges et le signale comme faisant l'objet d'une exploitation connue. FortiOS est corrigé dans les versions 7.6.5 et 7.4.10 ou ultérieures, tandis qu'aucune version des branches 7.2, 7.0 et 6.4 ne dispose de correctif et doit être migrée vers une version corrigée. Fortinet indique FortiProxy 7.6.5 et 7.4.12, FortiPAM 1.7.1 ainsi que FortiSwitchManager 7.2.8 et 7.0.7 comme versions corrigées, les branches plus anciennes de FortiProxy et FortiPAM devant elles aussi être migrées. Un correctif virtuel est disponible via la base de données FMWP de Fortinet, précise l'avis.

Palo Alto Networks Unit 42 a relié la faille à une intrusion chez un fournisseur de services managés (MSP) du secteur des télécommunications, qu'elle date de septembre 2024 et suit sous le nom CL-STA-0954, également connu sous le nom UNC5820. Selon Unit 42, les attaquants ont d'abord exploité CVE-2024-47575 sur un boîtier FortiManager central et récupéré une archive contenant les configurations en cours, du matériel cryptographique et des bases de données couvrant plus de 500 pare-feu FortiGate managés qui protégeaient à la fois le fournisseur et ses clients. Les chercheurs ont indiqué que les attaquants ont ensuite extrait des identifiants de ces fichiers, ouvert des sessions SSL VPN et abusé de CVE-2025-61624 via la fonction auto-script de FortiOS pour passer d'un accès administrateur aux droits root. Cet accès a servi à installer PEERSTITCH, que Unit 42 décrit comme un nouvel implant ARM64 résidant en mémoire qui n'écrit aucun binaire persistant sur le disque, n'ouvre aucun port en écoute et n'établit aucune connexion sortante, se greffant au lieu de cela sur le trafic de processus légitimes.

Unit 42 a également signalé un canal de reverse shell construit en abusant du module Apache mod_md sur les pare-feu, ainsi que des mesures anti-forensiques telles que l'arrêt des démons de journalisation, l'effacement des journaux de plantage (crash logs) et la suppression des comptes illégitimes et des objets auto-script peu après leur utilisation. L'équipe a indiqué qu'une partie des actions menées par les attaquants après avoir obtenu l'accès ressemble à des intrusions qui ont été liées à des acteurs étatiques présumés, et a estimé avec un niveau de confiance moyen que les attaquants ont usurpé l'identité du FortiManager pour récupérer les configurations d'autres pare-feu. Unit 42 a souligné que son enquête ne couvrait que l'environnement propre du fournisseur : elle n'a pas examiné les réseaux des clients, et ce qu'elle documente est l'exposition des configurations et des identifiants des pare-feu des clients, et non une compromission confirmée des réseaux des clients eux-mêmes.

Pour les défenseurs, la mesure immédiate consiste à mettre à jour les produits Fortinet concernés ou à migrer les branches dépourvues de correctif. Unit 42 recommande de passer en revue les révisions de configuration FortiOS à la recherche d'objets auto-script dont le nom contient des chaînes de traversée de répertoire, de vérifier les journaux de plantage pour détecter des erreurs de segmentation dans les démons de journalisation, IKE et syslog, de rechercher des régions mémoire exécutables inhabituelles dans les démons de journalisation et VPN, et d'auditer les écritures mémoire inter-processus entre eux. Les chercheurs ont aussi conseillé de considérer les identifiants et certificats détenus par une plateforme de gestion comme compromis dès que la plateforme l'est, car ce matériel de confiance reste valide jusqu'à sa rotation. « Cette compromission ne prend pas non plus fin lorsque la plateforme est corrigée », a écrit Unit 42.