CISA, Unit 42'nin PEERSTITCH implantıyla ilişkilendirdiği Fortinet CLI açığı CVE-2025-61624'ü istismar edilenler listesine aldı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 16 Ekim'de birkaç Fortinet ürününü etkileyen bir dizin geçişi (path traversal) güvenlik açığı olan CVE-2025-61624'ü, aktif istismar kanıtlarını gerekçe göstererek Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Aynı güncellemede BeyondTrust Remote Support ürünündeki bir kimlik doğrulama atlatma açığı olan CVE-2026-102764 de listeye alındı. CISA, tüm kuruluşları katalogda listelenen açıkların giderilmesine öncelik vermeye teşvik ediyor.

Fortinet'in ilk olarak 2026-04-14 tarihinde yayımlanan FG-IR-26-122 numaralı duyurusu, FortiOS, FortiProxy, FortiPAM ve FortiSwitchManager tarafından ortak kullanılan komut satırı arayüzünde (CLI) bir dizin geçişi zayıflığını (CWE-22) tanımlıyor. Fortinet'e göre, halihazırda ayrıcalıklı erişime sahip bir saldırgan, rastgele dosyalar yazmak veya silmek için mevcut komutlara özel hazırlanmış argümanlar geçirebilir. Üretici, sorunu 6,0 CVSSv3 puanıyla Orta olarak derecelendiriyor, kimliği doğrulanmış ve yetki yükseltme etkili olarak sınıflandırıyor ve istismar edildiği bilinen bir açık olarak işaretliyor. FortiOS'ta düzeltme 7.6.5 ve 7.4.10 veya sonraki sürümlerde yer alırken, 7.2, 7.0 ve 6.4 dallarının hiçbir sürümünde düzeltme bulunmuyor ve bu sürümlerin düzeltilmiş bir sürüme taşınması gerekiyor. Fortinet, FortiProxy 7.6.5 ve 7.4.12, FortiPAM 1.7.1 ile FortiSwitchManager 7.2.8 ve 7.0.7'yi düzeltilmiş sürümler olarak listeliyor; eski FortiProxy ve FortiPAM dallarının da taşınması gerekiyor. Duyuruda belirtildiğine göre Fortinet'in FMWP veri tabanı üzerinden bir sanal yama (virtual patch) sunuluyor.

Palo Alto Networks Unit 42, açığı Eylül 2024'e tarihlendirdiği ve CL-STA-0954 (UNC5820 olarak da bilinir) adıyla takip ettiği, bir telekomünikasyon yönetilen hizmet sağlayıcısındaki (MSP) saldırıyla ilişkilendirdi. Unit 42'ye göre saldırganlar önce merkezi bir FortiManager cihazında CVE-2024-47575'i istismar etti ve hem sağlayıcıyı hem de müşterilerini koruyan 500'den fazla yönetilen FortiGate güvenlik duvarına ait çalışan yapılandırmaları, kriptografik materyali ve veri tabanlarını içeren bir arşivi ele geçirdi. Araştırmacılar, saldırganların daha sonra bu dosyalardan kimlik bilgilerini çıkardığını, SSL VPN oturumları açtığını ve yönetici erişiminden root'a geçmek için CVE-2025-61624'ü FortiOS auto-script özelliği üzerinden kötüye kullandığını söyledi. Bu erişim, Unit 42'nin diske kalıcı hiçbir ikili dosya yazmayan, hiçbir dinleme portu açmayan ve hiçbir dışa giden bağlantı kurmayan, bunun yerine meşru süreçlerin trafiğine sırtını yaslayan yeni bir bellekte yerleşik ARM64 implantı olarak tanımladığı PEERSTITCH'i kurmak için kullanıldı.

Unit 42 ayrıca güvenlik duvarlarındaki Apache mod_md modülünün kötüye kullanılmasıyla oluşturulmuş bir ters kabuk (reverse shell) kanalı ile günlükleme daemon'larının durdurulması, çökme günlüklerinin (crash logs) temizlenmesi ve sahte hesaplar ile auto-script nesnelerinin kullanımdan kısa süre sonra silinmesi gibi anti-adli adımlar bildirdi. Saldırganların erişim elde ettikten sonra yaptıklarının bir kısmının, devlet destekli olduğundan şüphelenilen aktörlerle ilişkilendirilmiş saldırılara benzediğini belirtti ve saldırganların diğer güvenlik duvarlarından yapılandırma çekmek için FortiManager'ı taklit ettiğini orta düzeyde güvenle değerlendirdi. Unit 42, soruşturmasının yalnızca sağlayıcının kendi ortamını kapsadığını vurguladı: müşteri ağlarını incelemedi ve belgelediği şey, müşteri güvenlik duvarı yapılandırmalarının ve kimlik bilgilerinin ifşa olmasıdır; müşteri ağlarının kendisine yönelik doğrulanmış bir ihlal değildir.

Savunmacılar için acil adım, etkilenen Fortinet ürünlerini yükseltmek veya düzeltmesi bulunmayan dalları taşımaktır. Unit 42, FortiOS yapılandırma revizyonlarının adlarında dizin geçişi dizeleri içeren auto-script nesneleri açısından incelenmesini, çökme günlüklerinde günlükleme, IKE ve syslog daemon'larındaki segmentasyon hatalarının kontrol edilmesini, günlükleme ve VPN daemon'larında olağan dışı çalıştırılabilir bellek bölgelerinin aranmasını ve bunlar arasındaki süreçler arası bellek yazmalarının denetlenmesini öneriyor. Araştırmacılar ayrıca bir yönetim platformunun tuttuğu kimlik bilgileri ve sertifikaların, platform ele geçirilir geçirilmez ele geçirilmiş olarak kabul edilmesini tavsiye etti; çünkü bu güven materyali yenilenene kadar geçerliliğini koruyor. Unit 42, “Bu ele geçirme, platform yamalandığında da sona ermiyor” diye yazdı.