CISA、Fortinet CLIの脆弱性CVE-2025-61624を悪用済みとして掲載、Unit 42がPEERSTITCHインプラントとの関連を指摘

米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は10月16日、複数のFortinet製品に影響するパストラバーサル(path traversal)脆弱性CVE-2025-61624を、活発な悪用の証拠があるとして、既知の悪用された脆弱性(KEV)カタログに追加した。同じ更新では、BeyondTrust Remote Supportの認証バイパスであるCVE-2026-102764も掲載された。CISAは、すべての組織に対し、カタログに掲載された脆弱性の修正を優先するよう促している。

FortinetのアドバイザリFG-IR-26-122は2026-04-14に初公開されたもので、FortiOS、FortiProxy、FortiPAM、FortiSwitchManagerが共有するコマンドラインインターフェース(CLI)におけるパストラバーサルの弱点(CWE-22)を説明している。Fortinetによれば、すでに特権アクセスを持つ攻撃者が既存のコマンドに細工した引数を渡すことで、任意のファイルを書き込んだり削除したりできる可能性がある。ベンダーはこの問題をCVSSv3スコア6.0のMedium(中)と評価し、認証済みで権限昇格の影響を持つものに分類し、悪用が確認済みであるとしている。FortiOSは7.6.5および7.4.10以降で修正されているが、7.2、7.0、6.4系のすべてのリリースには修正がなく、修正済みリリースへ移行する必要がある。Fortinetは修正済みバージョンとしてFortiProxy 7.6.5と7.4.12、FortiPAM 1.7.1、FortiSwitchManager 7.2.8と7.0.7を挙げており、古いFortiProxyおよびFortiPAM系も移行が必要としている。アドバイザリによれば、FortinetのFMWPデータベースを通じて仮想パッチが提供されている。

Palo Alto Networks Unit 42は、この脆弱性を、2024年9月に始まったとする通信系マネージドサービスプロバイダー(MSP)への侵入と結び付けており、この活動をCL-STA-0954(別名UNC5820)として追跡している。Unit 42によれば、攻撃者はまず中央のFortiManagerアプライアンスでCVE-2024-47575を悪用し、プロバイダーとその顧客の双方を保護する500台を超える管理対象FortiGateファイアウォールの稼働中の設定、暗号資料、データベースを含むアーカイブを取得した。研究者らによると、攻撃者はその後それらのファイルから認証情報を復元し、SSL VPNセッションを開き、FortiOSのauto-script機能を通じてCVE-2025-61624を悪用して、管理者アクセスからrootへ移行した。このアクセスはPEERSTITCHのインストールに使われた。Unit 42はPEERSTITCHを、ディスクに永続的なバイナリを書き込まず、待ち受けポートを開かず、外向きの接続も行わず、代わりに正規プロセスのトラフィックに便乗する新しいメモリ常駐型ARM64インプラントと説明している。

Unit 42はまた、ファイアウォール上のApache mod_mdモジュールを悪用して構築されたリバースシェルのチャネルや、ログデーモンの停止、クラッシュログの消去、使用直後の不正アカウントとauto-scriptオブジェクトの削除といったアンチフォレンジックの手順も報告した。同社は、攻撃者がアクセス獲得後に行ったことの一部は、国家支援が疑われる攻撃者に関連付けられてきた侵入に似ていると述べ、攻撃者がFortiManagerになりすまして他のファイアウォールから設定を取得したと中程度の確度で評価した。Unit 42は、調査の対象がプロバイダー自身の環境のみであったことを強調している。顧客ネットワークは調査しておらず、同社が記録しているのは顧客ファイアウォールの設定と認証情報の露出であって、顧客ネットワーク自体への侵害が確認されたわけではない。

防御側にとって当面の対応は、影響を受けるFortinet製品をアップグレードするか、修正のない系統を移行することである。Unit 42は、FortiOSの設定リビジョンを確認して名前にディレクトリトラバーサル文字列を含むauto-scriptオブジェクトを探すこと、ログ、IKE、syslogの各デーモンにおけるセグメンテーションフォルトをクラッシュログで確認すること、ログデーモンとVPNデーモンに異常な実行可能メモリ領域がないか調べること、それらの間のプロセス間メモリ書き込みを監査することを推奨している。研究者らはまた、管理プラットフォームが侵害された時点で、そのプラットフォームが保持する認証情報と証明書も侵害されたものとして扱うよう助言した。こうした信頼材料はローテーションされるまで有効なままだからである。「その侵害は、プラットフォームにパッチを適用しても終わらない」とUnit 42は記している。