Unit 42 द्वारा PEERSTITCH इम्प्लांट से जोड़े जाने के बाद CISA ने Fortinet CLI खामी CVE-2025-61624 को शोषित के रूप में सूचीबद्ध किया

अमेरिकी साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी (CISA) ने 16 अक्टूबर को सक्रिय शोषण के साक्ष्य का हवाला देते हुए कई Fortinet उत्पादों में पाथ ट्रैवर्सल (path traversal) भेद्यता CVE-2025-61624 को अपने ज्ञात शोषित भेद्यताओं (KEV) कैटलॉग में जोड़ा। उसी अपडेट में BeyondTrust Remote Support में प्रमाणीकरण बायपास CVE-2026-102764 को भी सूचीबद्ध किया गया। CISA सभी संगठनों को कैटलॉग में सूचीबद्ध खामियों को ठीक करने को प्राथमिकता देने के लिए प्रोत्साहित करती है।

Fortinet की एडवाइज़री FG-IR-26-122, जो पहली बार 2026-04-14 को प्रकाशित हुई, FortiOS, FortiProxy, FortiPAM और FortiSwitchManager के साझा कमांड-लाइन इंटरफ़ेस (CLI) में पाथ ट्रैवर्सल कमज़ोरी (CWE-22) का वर्णन करती है। Fortinet के अनुसार, पहले से विशेषाधिकार प्राप्त पहुँच रखने वाला हमलावर मनमानी फ़ाइलें लिखने या हटाने के लिए मौजूदा कमांड्स को विशेष रूप से तैयार आर्गुमेंट दे सकता है। विक्रेता इस मुद्दे को CVSSv3 स्कोर 6.0 के साथ मध्यम रेट करता है, इसे प्रमाणित (authenticated) और विशेषाधिकार वृद्धि (escalation of privilege) प्रभाव वाला वर्गीकृत करता है, और इसे ज्ञात शोषित के रूप में चिह्नित करता है। FortiOS में फ़िक्स 7.6.5 और 7.4.10 या बाद के संस्करणों में है, जबकि 7.2, 7.0 और 6.4 शाखाओं की किसी भी रिलीज़ का कोई फ़िक्स नहीं है और उन्हें फ़िक्स वाली रिलीज़ पर ले जाना होगा। Fortinet ने FortiProxy 7.6.5 और 7.4.12, FortiPAM 1.7.1 तथा FortiSwitchManager 7.2.8 और 7.0.7 को ठीक किए गए संस्करणों के रूप में सूचीबद्ध किया है; पुरानी FortiProxy और FortiPAM शाखाओं को भी माइग्रेशन की ज़रूरत है। एडवाइज़री के अनुसार, Fortinet के FMWP डेटाबेस के माध्यम से एक वर्चुअल पैच उपलब्ध है।

Palo Alto Networks की Unit 42 ने इस खामी को एक दूरसंचार प्रबंधित सेवा प्रदाता (MSP) में हुई घुसपैठ से जोड़ा है, जिसे वह सितंबर 2024 का बताती है और CL-STA-0954 के रूप में ट्रैक करती है, जिसे UNC5820 के नाम से भी जाना जाता है। Unit 42 के अनुसार, हमलावरों ने पहले एक केंद्रीय FortiManager उपकरण पर CVE-2024-47575 का शोषण किया और एक ऐसा आर्काइव ले लिया जिसमें 500 से अधिक प्रबंधित FortiGate फ़ायरवॉल के चालू कॉन्फ़िगरेशन, क्रिप्टोग्राफ़िक सामग्री और डेटाबेस थे, जो प्रदाता और उसके ग्राहकों दोनों की सुरक्षा करते थे। शोधकर्ताओं ने कहा कि हमलावरों ने बाद में उन फ़ाइलों से क्रेडेंशियल निकाले, SSL VPN सत्र खोले, और FortiOS की auto-script सुविधा के ज़रिए CVE-2025-61624 का दुरुपयोग करके प्रशासक पहुँच से root तक पहुँचे। उस पहुँच का उपयोग PEERSTITCH स्थापित करने के लिए किया गया, जिसे Unit 42 एक नया मेमोरी-निवासी ARM64 इम्प्लांट बताती है जो डिस्क पर कोई स्थायी बाइनरी नहीं लिखता, कोई लिसनिंग पोर्ट नहीं खोलता और कोई आउटबाउंड कनेक्शन नहीं बनाता, बल्कि वैध प्रक्रियाओं के ट्रैफ़िक पर सवार होकर काम करता है।

Unit 42 ने फ़ायरवॉल पर Apache mod_md मॉड्यूल के दुरुपयोग से बनाए गए एक रिवर्स-शेल चैनल की भी रिपोर्ट की, और लॉगिंग डेमन रोकने, क्रैश लॉग साफ़ करने और उपयोग के तुरंत बाद नकली खाते और auto-script ऑब्जेक्ट हटाने जैसे एंटी-फ़ोरेंसिक कदमों की भी। उसने कहा कि पहुँच पाने के बाद हमलावरों ने जो कुछ किया, उसका कुछ हिस्सा उन घुसपैठों से मिलता-जुलता है जिन्हें संदिग्ध राष्ट्र-राज्य अभिनेताओं से जोड़ा गया है, और मध्यम विश्वास के साथ आकलन किया कि हमलावरों ने अन्य फ़ायरवॉल से कॉन्फ़िगरेशन खींचने के लिए FortiManager का रूप धारण किया। Unit 42 ने ज़ोर दिया कि उसकी जाँच केवल प्रदाता के अपने परिवेश तक सीमित थी: उसने ग्राहक नेटवर्कों की जाँच नहीं की, और वह जो दस्तावेज़ करती है वह ग्राहक फ़ायरवॉल कॉन्फ़िगरेशन और क्रेडेंशियल का उजागर होना है, न कि स्वयं ग्राहक नेटवर्कों में पुष्टि की गई सेंध।

रक्षकों के लिए तत्काल कदम प्रभावित Fortinet उत्पादों को अपग्रेड करना या जिन शाखाओं का कोई फ़िक्स नहीं है उन्हें माइग्रेट करना है। Unit 42 सुझाती है कि FortiOS कॉन्फ़िगरेशन संशोधनों में ऐसे auto-script ऑब्जेक्ट देखे जाएँ जिनके नामों में डायरेक्टरी ट्रैवर्सल स्ट्रिंग हों, लॉगिंग, IKE और syslog डेमन में सेगमेंटेशन फ़ॉल्ट के लिए क्रैश लॉग जाँचे जाएँ, लॉगिंग और VPN डेमन में असामान्य एक्ज़ीक्यूटेबल मेमोरी क्षेत्र खोजे जाएँ, और उनके बीच क्रॉस-प्रोसेस मेमोरी राइट्स का ऑडिट किया जाए। शोधकर्ताओं ने यह भी सलाह दी कि किसी प्रबंधन प्लेटफ़ॉर्म के समझौताग्रस्त होते ही उसके पास मौजूद क्रेडेंशियल और प्रमाणपत्रों को समझौताग्रस्त माना जाए, क्योंकि यह ट्रस्ट सामग्री रोटेट होने तक वैध बनी रहती है। “वह समझौता प्लेटफ़ॉर्म के पैच होने पर भी समाप्त नहीं होता”, Unit 42 ने लिखा।