CISA listar CLI-bristen CVE-2025-61624 hos Fortinet som utnyttjad efter att Unit 42 kopplat den till implantatet PEERSTITCH

Den amerikanska cybersäkerhetsmyndigheten CISA (Cybersecurity and Infrastructure Security Agency) lade den 16 oktober till CVE-2025-61624, en path traversal-sårbarhet (katalogtraversering) i flera produkter från Fortinet, i sin katalog över kända utnyttjade sårbarheter (KEV) med hänvisning till bevis på aktivt utnyttjande. Samma uppdatering listade även CVE-2026-102764, en autentiseringsförbikoppling i BeyondTrust Remote Support. CISA uppmanar alla organisationer att prioritera åtgärdandet av brister som finns i katalogen.

Säkerhetsbulletinen FG-IR-26-122 från Fortinet, först publicerad 2026-04-14, beskriver en path traversal-svaghet (CWE-22) i kommandoradsgränssnittet (CLI) som delas av FortiOS, FortiProxy, FortiPAM och FortiSwitchManager. Enligt Fortinet skulle en angripare som redan har privilegierad åtkomst kunna skicka särskilt utformade argument till befintliga kommandon för att skriva eller radera godtyckliga filer. Leverantören bedömer problemet som medelallvarligt (Medium) med CVSSv3-poängen 6,0, klassar det som autentiserat med behörighetseskalering som påverkan och flaggar det som känt utnyttjat. FortiOS är rättat i 7.6.5 och 7.4.10 eller senare, medan ingen utgåva i grenarna 7.2, 7.0 och 6.4 har någon rättning och måste flyttas till en rättad utgåva. Fortinet anger FortiProxy 7.6.5 och 7.4.12, FortiPAM 1.7.1 samt FortiSwitchManager 7.2.8 och 7.0.7 som rättade versioner, och äldre grenar av FortiProxy och FortiPAM kräver också migrering. En virtuell patch finns tillgänglig via FMWP-databasen från Fortinet, enligt bulletinen.

Palo Alto Networks Unit 42 kopplade bristen till ett intrång hos en telekomleverantör av hanterade tjänster (MSP) som enheten daterar till september 2024 och spårar som CL-STA-0954, även känd som UNC5820. Enligt Unit 42 utnyttjade angriparna först CVE-2024-47575 på en central FortiManager-enhet och tog ett arkiv med körande konfigurationer, kryptografiskt material och databaser som omfattade fler än 500 hanterade FortiGate-brandväggar som skyddade både leverantören och dess kunder. Forskarna sade att angriparna senare återvann inloggningsuppgifter ur dessa filer, öppnade SSL VPN-sessioner och missbrukade CVE-2025-61624 via auto-script-funktionen i FortiOS för att gå från administratörsåtkomst till root. Den åtkomsten användes för att installera PEERSTITCH, som Unit 42 beskriver som ett nytt minnesresident ARM64-implantat som inte skriver någon beständig binär till disk, inte öppnar några lyssnande portar och inte gör några utgående anslutningar, utan i stället åker snålskjuts på trafiken från legitima processer.

Unit 42 rapporterade också en reverse shell-kanal som byggts genom missbruk av modulen Apache mod_md på brandväggarna, samt antiforensiska åtgärder som att stoppa loggningsdemoner, rensa kraschloggar och radera falska konton och auto-script-objekt kort efter användning. Enheten uppgav att en del av det angriparna gjorde efter att ha fått åtkomst liknar intrång som har kopplats till misstänkta statsunderstödda aktörer, och bedömde med medelhög konfidens att angriparna utgav sig för att vara FortiManager för att hämta konfigurationer från andra brandväggar. Unit 42 betonade att dess utredning endast omfattade leverantörens egen miljö: den undersökte inte kundernas nätverk, och det den dokumenterar är att kundernas brandväggskonfigurationer och inloggningsuppgifter exponerats, inte ett bekräftat intrång i kundernas egna nätverk.

För försvarare är det omedelbara steget att uppgradera berörda Fortinet-produkter eller migrera grenar som saknar rättning. Unit 42 rekommenderar att granska konfigurationsrevisioner i FortiOS efter auto-script-objekt vars namn innehåller katalogtraverseringssträngar, kontrollera kraschloggar efter segmenteringsfel i loggnings-, IKE- och syslog-demonerna, leta efter ovanliga exekverbara minnesregioner i loggnings- och VPN-demonerna samt granska minnesskrivningar mellan dessa processer. Forskarna rådde också till att betrakta inloggningsuppgifter och certifikat som hanteras av en hanteringsplattform som komprometterade så snart plattformen är det, eftersom detta förtroendematerial förblir giltigt tills det roteras. ”Den komprometteringen upphör inte heller när plattformen patchas”, skrev Unit 42.