CISA, Fortinet CLI 취약점 CVE-2025-61624를 악용 확인 취약점으로 등재… Unit 42는 PEERSTITCH 임플란트와 연결

미국 사이버보안 및 인프라 보안국(CISA)은 10월 16일 여러 Fortinet 제품에 영향을 미치는 경로 탐색(path traversal) 취약점 CVE-2025-61624를 활발한 악용 증거를 근거로 악용 확인 취약점(KEV) 카탈로그에 추가했다. 같은 업데이트에는 BeyondTrust Remote Support의 인증 우회 취약점 CVE-2026-102764도 등재됐다. CISA는 모든 조직에 카탈로그에 등재된 취약점의 수정을 우선시할 것을 권고하고 있다.

2026-04-14에 처음 공개된 Fortinet의 권고문 FG-IR-26-122는 FortiOS, FortiProxy, FortiPAM, FortiSwitchManager가 공유하는 명령줄 인터페이스(CLI)의 경로 탐색 취약점(CWE-22)을 설명한다. Fortinet에 따르면 이미 특권 접근 권한을 보유한 공격자가 기존 명령에 조작된 인수를 전달해 임의의 파일을 쓰거나 삭제할 수 있다. 벤더는 이 문제를 CVSSv3 점수 6.0의 중간(Medium) 등급으로 평가하고, 인증이 필요하며 권한 상승 영향을 갖는 것으로 분류했으며, 악용이 확인된 것으로 표시했다. FortiOS는 7.6.5 및 7.4.10 이상에서 수정됐으나, 7.2, 7.0, 6.4 브랜치의 모든 릴리스에는 수정이 없으므로 수정된 릴리스로 이전해야 한다. Fortinet은 수정 버전으로 FortiProxy 7.6.5 및 7.4.12, FortiPAM 1.7.1, FortiSwitchManager 7.2.8 및 7.0.7을 제시하며, 구형 FortiProxy 및 FortiPAM 브랜치 역시 이전이 필요하다고 밝혔다. 권고문에 따르면 Fortinet의 FMWP 데이터베이스를 통해 가상 패치가 제공된다.

Palo Alto Networks Unit 42는 이 취약점을 2024년 9월에 시작된 것으로 보는 통신 분야 관리형 서비스 제공업체(MSP) 침입 사건과 연결했으며, 해당 활동을 UNC5820으로도 알려진 CL-STA-0954로 추적하고 있다. Unit 42에 따르면 공격자는 먼저 중앙 FortiManager 어플라이언스에서 CVE-2024-47575를 악용해, 해당 제공업체와 그 고객 모두를 보호하는 500대 이상의 관리 대상 FortiGate 방화벽의 실행 중인 설정, 암호화 자료, 데이터베이스가 담긴 아카이브를 탈취했다. 연구진은 공격자가 이후 해당 파일에서 자격 증명을 복구해 SSL VPN 세션을 열고, FortiOS의 auto-script 기능을 통해 CVE-2025-61624를 악용해 관리자 접근 권한에서 root로 이동했다고 밝혔다. 이 접근 권한은 PEERSTITCH 설치에 사용됐다. Unit 42는 PEERSTITCH를 디스크에 영구 바이너리를 기록하지 않고, 수신 대기 포트를 열지 않으며, 외부로 연결하지 않는 대신 정상 프로세스의 트래픽에 편승하는 새로운 메모리 상주형 ARM64 임플란트로 설명한다.

Unit 42는 또한 방화벽의 Apache mod_md 모듈을 악용해 구축된 리버스 셸 채널과, 로깅 데몬 중지, 크래시 로그 삭제, 사용 직후 불법 계정 및 auto-script 객체 삭제 같은 안티포렌식 조치도 보고했다. Unit 42는 공격자가 접근 권한을 얻은 뒤 수행한 행위 중 일부가 국가 지원 의심 공격자와 연관된 것으로 알려진 침입과 유사하다고 밝혔으며, 공격자가 FortiManager를 사칭해 다른 방화벽에서 설정을 가져갔다고 중간 신뢰도로 평가했다. Unit 42는 조사 범위가 제공업체 자체 환경에만 국한됐다는 점을 강조했다. 고객 네트워크는 조사하지 않았으며, 문서화한 내용은 고객 방화벽의 설정과 자격 증명 노출이지 고객 네트워크 자체에 대한 확인된 침해가 아니라는 것이다.

방어자에게 당면 조치는 영향을 받는 Fortinet 제품을 업그레이드하거나 수정이 없는 브랜치를 이전하는 것이다. Unit 42는 FortiOS 설정 리비전에서 이름에 디렉터리 탐색 문자열이 포함된 auto-script 객체를 검토하고, 로깅, IKE, syslog 데몬의 세그멘테이션 폴트가 있는지 크래시 로그를 확인하며, 로깅 및 VPN 데몬에서 비정상적인 실행 가능 메모리 영역을 찾고, 이들 간의 프로세스 간 메모리 쓰기를 감사할 것을 권고한다. 연구진은 또한 관리 플랫폼이 침해되는 즉시 해당 플랫폼이 보유한 자격 증명과 인증서도 침해된 것으로 간주하라고 조언했다. 이러한 신뢰 자료는 교체되기 전까지 유효하기 때문이다. Unit 42는 “그 침해는 플랫폼에 패치를 적용한다고 끝나지도 않는다”라고 썼다.