CISA внесло уязвимость CLI Fortinet CVE-2025-61624 в список эксплуатируемых после того, как Unit 42 связало её с имплантом PEERSTITCH

Агентство по кибербезопасности и защите инфраструктуры США (CISA) 16 октября добавило CVE-2025-61624, уязвимость обхода пути (path traversal) в нескольких продуктах Fortinet, в свой каталог известных эксплуатируемых уязвимостей (KEV), сославшись на свидетельства активной эксплуатации. В том же обновлении указана и CVE-2026-102764 — обход аутентификации в BeyondTrust Remote Support. CISA призывает все организации в приоритетном порядке устранять уязвимости, включённые в каталог.

Бюллетень Fortinet FG-IR-26-122, впервые опубликованный 2026-04-14, описывает уязвимость обхода пути (CWE-22) в интерфейсе командной строки, общем для FortiOS, FortiProxy, FortiPAM и FortiSwitchManager. По данным Fortinet, злоумышленник, уже имеющий привилегированный доступ, может передать специально сформированные аргументы существующим командам, чтобы записать или удалить произвольные файлы. Вендор оценивает проблему как среднюю (Medium) с баллом CVSSv3 6.0, классифицирует её как требующую аутентификации с последствием в виде повышения привилегий и помечает как известную эксплуатируемую. В FortiOS она исправлена в версиях 7.6.5 и 7.4.10 или более поздних, тогда как для всех выпусков веток 7.2, 7.0 и 6.4 исправления нет, и их необходимо перевести на исправленный выпуск. В качестве исправленных версий Fortinet указывает FortiProxy 7.6.5 и 7.4.12, FortiPAM 1.7.1 и FortiSwitchManager 7.2.8 и 7.0.7; более старые ветки FortiProxy и FortiPAM также требуют миграции. Виртуальный патч доступен через базу FMWP компании Fortinet, говорится в бюллетене.

Подразделение Unit 42 компании Palo Alto Networks связало уязвимость со вторжением у телекоммуникационного поставщика управляемых услуг (MSP), которое датирует сентябрём 2024 года и отслеживает как CL-STA-0954, также известное как UNC5820. По данным Unit 42, злоумышленники сначала проэксплуатировали CVE-2024-47575 на центральном устройстве FortiManager и забрали архив с рабочими конфигурациями, криптографическим материалом и базами данных, охватывающими более 500 управляемых межсетевых экранов FortiGate, которые защищали как самого поставщика, так и его клиентов. По словам исследователей, позднее злоумышленники извлекли из этих файлов учётные данные, открыли сессии SSL VPN и злоупотребили CVE-2025-61624 через функцию auto-script в FortiOS, чтобы перейти от доступа администратора к правам root. Этот доступ использовался для установки PEERSTITCH, который Unit 42 описывает как новый резидентный в памяти имплант для ARM64, не записывающий на диск постоянный бинарный файл, не открывающий прослушивающих портов и не устанавливающий исходящих соединений, а вместо этого паразитирующий на трафике легитимных процессов.

Unit 42 также сообщило о канале reverse shell (обратной оболочки), построенном путём злоупотребления модулем Apache mod_md на межсетевых экранах, и об антифорензических шагах, таких как остановка демонов журналирования, очистка журналов сбоев (crash logs) и удаление поддельных учётных записей и объектов auto-script вскоре после использования. По его словам, часть действий злоумышленников после получения доступа напоминает вторжения, которые связывали с предполагаемыми государственными акторами, и со средней степенью уверенности оно оценило, что злоумышленники выдавали себя за FortiManager, чтобы получать конфигурации с других межсетевых экранов. Unit 42 подчеркнуло, что его расследование охватывало только собственную среду поставщика: клиентские сети оно не изучало, а задокументировано им раскрытие конфигураций и учётных данных клиентских межсетевых экранов, а не подтверждённая компрометация самих клиентских сетей.

Для защитников первоочередной шаг — обновить затронутые продукты Fortinet или мигрировать с веток, для которых нет исправления. Unit 42 рекомендует проверить ревизии конфигурации FortiOS на наличие объектов auto-script, в именах которых содержатся строки обхода каталогов, проверить журналы сбоев на ошибки сегментации в демонах журналирования, IKE и syslog, искать необычные исполняемые области памяти в демонах журналирования и VPN, а также провести аудит межпроцессных записей в память между ними. Исследователи также посоветовали считать учётные данные и сертификаты, хранящиеся на платформе управления, скомпрометированными сразу же, как только скомпрометирована сама платформа, поскольку этот доверительный материал остаётся действительным до его ротации. «Эта компрометация также не заканчивается с установкой патча на платформу», — написало Unit 42.