CISA include vulnerabilitatea CLI Fortinet CVE-2025-61624 ca exploatată după ce Unit 42 o leagă de implantul PEERSTITCH

Agenția americană pentru Securitate Cibernetică și Securitatea Infrastructurii (CISA) a adăugat pe 16 octombrie CVE-2025-61624, o vulnerabilitate de tip path traversal (traversare de directoare) din mai multe produse Fortinet, în catalogul său de vulnerabilități exploatate cunoscute (KEV), invocând dovezi de exploatare activă. Aceeași actualizare a inclus și CVE-2026-102764, o ocolire a autentificării în BeyondTrust Remote Support. CISA încurajează toate organizațiile să acorde prioritate remedierii vulnerabilităților din catalog.

Avizul Fortinet FG-IR-26-122, publicat inițial pe 2026-04-14, descrie o slăbiciune de tip path traversal (CWE-22) în interfața de linie de comandă (CLI) comună pentru FortiOS, FortiProxy, FortiPAM și FortiSwitchManager. Potrivit Fortinet, un atacator care deține deja acces privilegiat ar putea transmite argumente special construite unor comenzi existente pentru a scrie sau a șterge fișiere arbitrare. Furnizorul evaluează problema ca Medie, cu un scor CVSSv3 de 6.0, o clasifică drept autentificată, cu impact de escaladare a privilegiilor, și o marchează ca exploatată cunoscută. FortiOS este remediat în 7.6.5 și 7.4.10 sau versiuni ulterioare, în timp ce toate versiunile din ramurile 7.2, 7.0 și 6.4 nu au remediere și trebuie migrate la o versiune remediată. Fortinet enumeră FortiProxy 7.6.5 și 7.4.12, FortiPAM 1.7.1 și FortiSwitchManager 7.2.8 și 7.0.7 ca versiuni remediate, ramurile mai vechi de FortiProxy și FortiPAM necesitând de asemenea migrare. Un patch virtual este disponibil prin baza de date FMWP a Fortinet, se arată în aviz.

Palo Alto Networks Unit 42 a legat vulnerabilitatea de o intruziune la un furnizor de servicii gestionate (MSP) din telecomunicații, pe care o datează în septembrie 2024 și o urmărește sub numele CL-STA-0954, cunoscută și ca UNC5820. Potrivit Unit 42, atacatorii au exploatat mai întâi CVE-2024-47575 pe un echipament central FortiManager și au sustras o arhivă cu configurații active, material criptografic și baze de date care acopereau peste 500 de firewall-uri FortiGate gestionate, care protejau atât furnizorul, cât și clienții săi. Cercetătorii au declarat că atacatorii au recuperat ulterior credențiale din acele fișiere, au deschis sesiuni SSL VPN și au abuzat CVE-2025-61624 prin funcția auto-script din FortiOS pentru a trece de la acces de administrator la root. Acest acces a fost folosit pentru a instala PEERSTITCH, pe care Unit 42 îl descrie ca un nou implant ARM64 rezident în memorie, care nu scrie niciun binar persistent pe disc, nu deschide niciun port de ascultare și nu realizează nicio conexiune de ieșire, ci se grefează pe traficul proceselor legitime.

Unit 42 a raportat de asemenea un canal de tip reverse shell construit prin abuzarea modulului Apache mod_md de pe firewall-uri, precum și pași anti-criminalistici precum oprirea daemonilor de jurnalizare, ștergerea jurnalelor de blocare (crash logs) și eliminarea conturilor neautorizate și a obiectelor auto-script la scurt timp după utilizare. Compania a afirmat că o parte din ceea ce au făcut atacatorii după obținerea accesului seamănă cu intruziuni care au fost asociate unor actori statali suspectați și a evaluat, cu încredere medie, că atacatorii s-au dat drept FortiManager pentru a extrage configurații de pe alte firewall-uri. Unit 42 a subliniat că investigația sa a acoperit doar mediul propriu al furnizorului: nu a examinat rețelele clienților, iar ceea ce documentează este expunerea configurațiilor și credențialelor firewall-urilor clienților, nu o breșă confirmată a rețelelor clienților în sine.

Pentru apărători, pasul imediat este actualizarea produselor Fortinet afectate sau migrarea ramurilor care nu au remediere. Unit 42 recomandă verificarea reviziilor de configurație FortiOS pentru obiecte auto-script ale căror nume conțin șiruri de traversare a directoarelor, verificarea jurnalelor de blocare pentru erori de segmentare în daemonii de jurnalizare, IKE și syslog, căutarea unor regiuni de memorie executabile neobișnuite în daemonii de jurnalizare și VPN și auditarea scrierilor de memorie între procese dintre aceștia. Cercetătorii au recomandat de asemenea ca credențialele și certificatele deținute de o platformă de management să fie tratate ca fiind compromise de îndată ce platforma este compromisă, întrucât acest material de încredere rămâne valabil până la rotire. „Această compromitere nu se încheie nici atunci când platforma este actualizată cu patch-uri”, a scris Unit 42.