CISA lista falha na CLI da Fortinet CVE-2025-61624 como explorada depois de a Unit 42 a ligar ao implante PEERSTITCH

A Agência de Cibersegurança e Segurança de Infraestruturas dos EUA (CISA) adicionou a 16 de outubro a CVE-2025-61624, uma vulnerabilidade de path traversal em vários produtos Fortinet, ao seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV), citando provas de exploração ativa. A mesma atualização listou também a CVE-2026-102764, um contorno de autenticação no BeyondTrust Remote Support. A CISA incentiva todas as organizações a dar prioridade à correção das falhas listadas no catálogo.

O aviso da Fortinet FG-IR-26-122, publicado pela primeira vez em 2026-04-14, descreve uma fraqueza de path traversal (CWE-22) na interface de linha de comandos (CLI) partilhada por FortiOS, FortiProxy, FortiPAM e FortiSwitchManager. Segundo a Fortinet, um atacante que já detenha acesso privilegiado poderia passar argumentos manipulados a comandos existentes para escrever ou apagar ficheiros arbitrários. O fornecedor classifica o problema como Médio com uma pontuação CVSSv3 de 6.0, categoriza-o como autenticado com impacto de escalada de privilégios e assinala-o como explorado conhecido. O FortiOS está corrigido nas versões 7.6.5 e 7.4.10 ou posteriores, enquanto todas as versões dos ramos 7.2, 7.0 e 6.4 não têm correção e devem ser migradas para uma versão corrigida. A Fortinet lista FortiProxy 7.6.5 e 7.4.12, FortiPAM 1.7.1 e FortiSwitchManager 7.2.8 e 7.0.7 como versões corrigidas, e os ramos mais antigos de FortiProxy e FortiPAM também exigem migração. Um patch virtual está disponível através da base de dados FMWP da Fortinet, afirma o aviso.

A Unit 42 da Palo Alto Networks ligou a falha a uma intrusão num fornecedor de serviços geridos (MSP) de telecomunicações que data de setembro de 2024 e que acompanha como CL-STA-0954, também conhecido como UNC5820. Segundo a Unit 42, os atacantes exploraram primeiro a CVE-2024-47575 numa appliance FortiManager central e levaram um arquivo com configurações em execução, material criptográfico e bases de dados abrangendo mais de 500 firewalls FortiGate geridas que protegiam tanto o fornecedor como os seus clientes. Os investigadores disseram que os atacantes recuperaram depois credenciais desses ficheiros, abriram sessões SSL VPN e abusaram da CVE-2025-61624 através da funcionalidade auto-script do FortiOS para passar de acesso de administrador a root. Esse acesso foi usado para instalar o PEERSTITCH, que a Unit 42 descreve como um novo implante ARM64 residente em memória que não escreve nenhum binário persistente em disco, não abre portas em escuta e não faz ligações de saída, aproveitando em vez disso o tráfego de processos legítimos.

A Unit 42 reportou também um canal de reverse shell construído abusando do módulo Apache mod_md nas firewalls, e passos antiforenses como parar os daemons de registo, limpar os crash logs e apagar contas ilegítimas e objetos auto-script pouco depois da utilização. Disse que parte do que os atacantes fizeram depois de obter acesso se assemelha a intrusões que foram ligadas a suspeitos atores estatais, e avaliou com confiança média que os atacantes se fizeram passar pelo FortiManager para extrair configurações de outras firewalls. A Unit 42 sublinhou que a sua investigação abrangeu apenas o ambiente do próprio fornecedor: não examinou as redes dos clientes, e o que documenta é a exposição de configurações e credenciais das firewalls dos clientes, não uma violação confirmada das próprias redes dos clientes.

Para os defensores, o passo imediato é atualizar os produtos Fortinet afetados ou migrar os ramos que não têm correção. A Unit 42 recomenda rever as revisões de configuração do FortiOS à procura de objetos auto-script cujos nomes contenham cadeias de directory traversal, verificar os crash logs quanto a segmentation faults nos daemons de registo, IKE e syslog, procurar regiões de memória executável invulgares nos daemons de registo e VPN, e auditar escritas de memória entre processos entre eles. Os investigadores aconselharam ainda a tratar as credenciais e certificados detidos por uma plataforma de gestão como comprometidos assim que a plataforma o seja, uma vez que esse material de confiança permanece válido até ser rodado. «Esse comprometimento também não termina quando a plataforma é corrigida», escreveu a Unit 42.