CISA inserisce la falla CLI di Fortinet CVE-2025-61624 tra quelle sfruttate dopo che Unit 42 l'ha collegata all'impianto PEERSTITCH

L'agenzia statunitense per la cybersicurezza e la sicurezza delle infrastrutture (CISA) ha aggiunto il 16 ottobre CVE-2025-61624, una vulnerabilità di path traversal in diversi prodotti Fortinet, al suo catalogo delle vulnerabilità note sfruttate (KEV), citando prove di sfruttamento attivo. Lo stesso aggiornamento ha inserito anche CVE-2026-102764, un bypass dell'autenticazione in BeyondTrust Remote Support. CISA invita tutte le organizzazioni a dare priorità alla correzione delle falle elencate nel catalogo.

L'avviso di Fortinet FG-IR-26-122, pubblicato per la prima volta il 2026-04-14, descrive una debolezza di path traversal (CWE-22) nell'interfaccia a riga di comando (CLI) condivisa da FortiOS, FortiProxy, FortiPAM e FortiSwitchManager. Secondo Fortinet, un attaccante che dispone già di accesso privilegiato potrebbe passare argomenti appositamente costruiti a comandi esistenti per scrivere o cancellare file arbitrari. Il fornitore valuta il problema come Medio con un punteggio CVSSv3 di 6.0, lo classifica come autenticato con impatto di escalation dei privilegi e lo segnala come noto sfruttato. FortiOS è corretto nelle versioni 7.6.5 e 7.4.10 o successive, mentre tutte le release dei rami 7.2, 7.0 e 6.4 non hanno una correzione e devono essere migrate a una release corretta. Fortinet elenca FortiProxy 7.6.5 e 7.4.12, FortiPAM 1.7.1 e FortiSwitchManager 7.2.8 e 7.0.7 come versioni corrette, e anche i rami più vecchi di FortiProxy e FortiPAM richiedono la migrazione. Una patch virtuale è disponibile tramite il database FMWP di Fortinet, afferma l'avviso.

Palo Alto Networks Unit 42 ha collegato la falla a un'intrusione presso un managed service provider (MSP) di telecomunicazioni che fa risalire a settembre 2024 e che traccia come CL-STA-0954, noto anche come UNC5820. Secondo Unit 42, gli attaccanti hanno prima sfruttato CVE-2024-47575 su un'appliance FortiManager centrale e hanno sottratto un archivio con configurazioni in esecuzione, materiale crittografico e database relativi a più di 500 firewall FortiGate gestiti che proteggevano sia il provider sia i suoi clienti. I ricercatori hanno detto che gli attaccanti hanno in seguito recuperato credenziali da quei file, aperto sessioni SSL VPN e abusato di CVE-2025-61624 tramite la funzione auto-script di FortiOS per passare dall'accesso come amministratore a root. Quell'accesso è stato usato per installare PEERSTITCH, che Unit 42 descrive come un nuovo impianto ARM64 residente in memoria che non scrive alcun binario persistente su disco, non apre porte in ascolto e non effettua connessioni in uscita, sfruttando invece il traffico di processi legittimi.

Unit 42 ha segnalato anche un canale di reverse shell costruito abusando del modulo Apache mod_md sui firewall, e passi anti-forensi come l'arresto dei daemon di logging, la cancellazione dei crash log e l'eliminazione di account illeciti e oggetti auto-script poco dopo l'uso. Ha affermato che parte di ciò che gli attaccanti hanno fatto dopo aver ottenuto l'accesso ricorda intrusioni che sono state collegate a presunti attori statali, e ha valutato con media confidenza che gli attaccanti abbiano impersonato il FortiManager per prelevare configurazioni da altri firewall. Unit 42 ha sottolineato che la sua indagine ha riguardato solo l'ambiente del provider stesso: non ha esaminato le reti dei clienti, e ciò che documenta è l'esposizione delle configurazioni e delle credenziali dei firewall dei clienti, non una violazione confermata delle reti dei clienti stesse.

Per i difensori, il passo immediato è aggiornare i prodotti Fortinet interessati o migrare i rami che non hanno una correzione. Unit 42 raccomanda di esaminare le revisioni di configurazione di FortiOS alla ricerca di oggetti auto-script i cui nomi contengono stringhe di directory traversal, controllare i crash log per segmentation fault nei daemon di logging, IKE e syslog, cercare regioni di memoria eseguibili insolite nei daemon di logging e VPN, e verificare le scritture di memoria tra processi fra di essi. I ricercatori hanno inoltre consigliato di considerare compromesse le credenziali e i certificati custoditi da una piattaforma di gestione non appena lo è la piattaforma, poiché quel materiale di fiducia resta valido finché non viene ruotato. «Quella compromissione inoltre non finisce quando la piattaforma viene corretta», ha scritto Unit 42.