CISA zet Fortinet CLI-lek CVE-2025-61624 op lijst van uitgebuite kwetsbaarheden nadat Unit 42 het koppelt aan PEERSTITCH-implant

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft op 16 oktober CVE-2025-61624, een path-traversal-kwetsbaarheid in verschillende Fortinet-producten, toegevoegd aan haar catalogus van bekende uitgebuite kwetsbaarheden (Known Exploited Vulnerabilities, KEV), onder verwijzing naar bewijs van actieve uitbuiting. Dezelfde update vermeldde ook CVE-2026-102764, een authenticatie-omzeiling in BeyondTrust Remote Support. CISA moedigt alle organisaties aan om het verhelpen van in de catalogus vermelde kwetsbaarheden prioriteit te geven.

Het advisory FG-IR-26-122 van Fortinet, voor het eerst gepubliceerd op 2026-04-14, beschrijft een path-traversal-zwakte (CWE-22) in de opdrachtregelinterface (CLI) die FortiOS, FortiProxy, FortiPAM en FortiSwitchManager delen. Volgens Fortinet zou een aanvaller die al over geprivilegieerde toegang beschikt, speciaal samengestelde argumenten aan bestaande commando's kunnen meegeven om willekeurige bestanden te schrijven of te verwijderen. De leverancier beoordeelt het probleem als Medium met een CVSSv3-score van 6.0, classificeert het als geauthenticeerd met als impact een verhoging van rechten (escalation of privilege), en markeert het als bekend uitgebuit. FortiOS is verholpen in 7.6.5 en 7.4.10 of later, terwijl geen enkele release van de takken 7.2, 7.0 en 6.4 een fix heeft en naar een verholpen release moet worden gemigreerd. Fortinet noemt FortiProxy 7.6.5 en 7.4.12, FortiPAM 1.7.1 en FortiSwitchManager 7.2.8 en 7.0.7 als verholpen versies, waarbij oudere takken van FortiProxy en FortiPAM eveneens migratie vereisen. Via de FMWP-database van Fortinet is een virtuele patch beschikbaar, aldus het advisory.

Palo Alto Networks Unit 42 bracht het lek in verband met een inbraak bij een managed service provider (MSP) in de telecommunicatiesector, die het dateert op september 2024 en volgt als CL-STA-0954, ook bekend als UNC5820. Volgens Unit 42 buitten de aanvallers eerst CVE-2024-47575 uit op een centrale FortiManager-appliance en namen zij een archief mee met actieve configuraties, cryptografisch materiaal en databases van meer dan 500 beheerde FortiGate-firewalls die zowel de provider als zijn klanten beschermden. De onderzoekers zeiden dat de aanvallers later inloggegevens uit die bestanden haalden, SSL VPN-sessies openden en CVE-2025-61624 misbruikten via de auto-script-functie van FortiOS om van beheerderstoegang naar root te gaan. Die toegang werd gebruikt om PEERSTITCH te installeren, dat Unit 42 beschrijft als een nieuw, in het geheugen residerend ARM64-implant dat geen persistent binair bestand naar schijf schrijft, geen luisterende poorten opent en geen uitgaande verbindingen maakt, maar in plaats daarvan meelift op het verkeer van legitieme processen.

Unit 42 meldde ook een reverse-shell-kanaal dat werd opgezet door misbruik van de Apache-module mod_md op de firewalls, en anti-forensische stappen zoals het stoppen van logging-daemons, het wissen van crashlogs en het verwijderen van valse accounts en auto-script-objecten kort na gebruik. Het stelde dat een deel van wat de aanvallers na het verkrijgen van toegang deden, lijkt op inbraken die in verband zijn gebracht met vermoedelijke statelijke actoren, en beoordeelde met gemiddelde zekerheid dat de aanvallers zich voordeden als de FortiManager om configuraties van andere firewalls op te halen. Unit 42 benadrukte dat zijn onderzoek alleen de eigen omgeving van de provider besloeg: het heeft de klantnetwerken niet onderzocht, en wat het documenteert is de blootstelling van firewallconfiguraties en inloggegevens van klanten, niet een bevestigde inbraak in de klantnetwerken zelf.

Voor verdedigers is de onmiddellijke stap het upgraden van getroffen Fortinet-producten of het migreren van takken die geen fix hebben. Unit 42 raadt aan om FortiOS-configuratierevisies te controleren op auto-script-objecten waarvan de naam directory-traversal-tekenreeksen bevat, crashlogs te controleren op segmentation faults in de logging-, IKE- en syslog-daemons, te zoeken naar ongebruikelijke uitvoerbare geheugengebieden in de logging- en VPN-daemons, en geheugenschrijfacties tussen die processen te auditen. De onderzoekers adviseerden ook om inloggegevens en certificaten die een beheerplatform bewaart, als gecompromitteerd te beschouwen zodra het platform dat is, omdat dat vertrouwensmateriaal geldig blijft totdat het is vervangen. “Die compromittering eindigt ook niet wanneer het platform is gepatcht”, schreef Unit 42.