CISA mencantumkan celah CLI Fortinet CVE-2025-61624 sebagai dieksploitasi setelah Unit 42 mengaitkannya dengan implan PEERSTITCH

Badan Keamanan Siber dan Infrastruktur AS (CISA) pada 16 Oktober menambahkan CVE-2025-61624, kerentanan path traversal di sejumlah produk Fortinet, ke katalog Kerentanan yang Diketahui Dieksploitasi (KEV) miliknya, dengan mengutip bukti eksploitasi aktif. Pembaruan yang sama juga mencantumkan CVE-2026-102764, sebuah bypass autentikasi di BeyondTrust Remote Support. CISA mendorong semua organisasi untuk memprioritaskan perbaikan celah yang tercantum dalam katalog tersebut.

Advisori Fortinet FG-IR-26-122, pertama kali dipublikasikan pada 2026-04-14, menjelaskan kelemahan path traversal (CWE-22) di antarmuka baris perintah (CLI) yang digunakan bersama oleh FortiOS, FortiProxy, FortiPAM dan FortiSwitchManager. Menurut Fortinet, penyerang yang sudah memegang akses istimewa dapat memberikan argumen yang dirancang khusus ke perintah yang ada untuk menulis atau menghapus file sembarang. Vendor menilai masalah ini Sedang dengan skor CVSSv3 6.0, mengklasifikasikannya sebagai terautentikasi dengan dampak eskalasi hak akses, dan menandainya sebagai diketahui dieksploitasi. FortiOS diperbaiki di 7.6.5 dan 7.4.10 atau yang lebih baru, sementara setiap rilis cabang 7.2, 7.0 dan 6.4 tidak memiliki perbaikan dan harus dimigrasikan ke rilis yang sudah diperbaiki. Fortinet mencantumkan FortiProxy 7.6.5 dan 7.4.12, FortiPAM 1.7.1 serta FortiSwitchManager 7.2.8 dan 7.0.7 sebagai versi yang sudah diperbaiki, dengan cabang FortiProxy dan FortiPAM yang lebih lama juga memerlukan migrasi. Sebuah virtual patch tersedia melalui basis data FMWP Fortinet, demikian pernyataan advisori tersebut.

Palo Alto Networks Unit 42 mengaitkan celah ini dengan intrusi di sebuah penyedia layanan terkelola (MSP) telekomunikasi yang mereka tanggali September 2024 dan lacak sebagai CL-STA-0954, juga dikenal sebagai UNC5820. Menurut Unit 42, penyerang mula-mula mengeksploitasi CVE-2024-47575 pada perangkat FortiManager pusat dan mengambil arsip berisi konfigurasi yang sedang berjalan, materi kriptografi dan basis data yang mencakup lebih dari 500 firewall FortiGate terkelola yang melindungi penyedia maupun kliennya. Para peneliti mengatakan penyerang kemudian memulihkan kredensial dari file-file tersebut, membuka sesi SSL VPN, dan menyalahgunakan CVE-2025-61624 melalui fitur auto-script FortiOS untuk beranjak dari akses administrator ke root. Akses itu digunakan untuk memasang PEERSTITCH, yang digambarkan Unit 42 sebagai implan ARM64 baru yang bersemayam di memori, tidak menulis biner persisten apa pun ke disk, tidak membuka port yang mendengarkan dan tidak membuat koneksi keluar, melainkan menumpang pada lalu lintas proses yang sah.

Unit 42 juga melaporkan kanal reverse shell yang dibangun dengan menyalahgunakan modul Apache mod_md di firewall, serta langkah anti-forensik seperti menghentikan daemon logging, membersihkan log crash dan menghapus akun gelap serta objek auto-script tak lama setelah digunakan. Unit 42 mengatakan sebagian dari apa yang dilakukan penyerang setelah mendapatkan akses menyerupai intrusi yang telah dikaitkan dengan aktor yang diduga disponsori negara, dan menilai dengan keyakinan sedang bahwa penyerang menyamar sebagai FortiManager untuk menarik konfigurasi dari firewall lain. Unit 42 menekankan bahwa investigasinya hanya mencakup lingkungan penyedia itu sendiri: mereka tidak memeriksa jaringan klien, dan yang didokumentasikan adalah terpaparnya konfigurasi dan kredensial firewall klien, bukan pembobolan terkonfirmasi atas jaringan klien itu sendiri.

Bagi para pembela, langkah segera adalah memutakhirkan produk Fortinet yang terdampak atau memigrasikan cabang yang tidak memiliki perbaikan. Unit 42 merekomendasikan meninjau revisi konfigurasi FortiOS untuk mencari objek auto-script yang namanya memuat string directory traversal, memeriksa log crash untuk segmentation fault di daemon logging, IKE dan syslog, mencari wilayah memori eksekutabel yang tidak biasa di daemon logging dan VPN, serta mengaudit penulisan memori lintas proses di antara keduanya. Para peneliti juga menyarankan agar kredensial dan sertifikat yang dipegang sebuah platform manajemen dianggap telah dikompromikan begitu platform itu dikompromikan, karena materi kepercayaan tersebut tetap berlaku hingga dirotasi. “Kompromi itu juga tidak berakhir ketika platform tersebut ditambal”, tulis Unit 42.