CISA внесло вразливість CLI Fortinet CVE-2025-61624 до списку експлуатованих після того, як Unit 42 пов’язав її з імплантом PEERSTITCH

Агентство з кібербезпеки та захисту інфраструктури США (CISA) 16 жовтня додало CVE-2025-61624, вразливість обходу шляху (path traversal) у кількох продуктах Fortinet, до свого каталогу відомих експлуатованих вразливостей (KEV), пославшись на свідчення активної експлуатації. У тому ж оновленні зазначено й CVE-2026-102764 — обхід автентифікації в BeyondTrust Remote Support. CISA закликає всі організації в пріоритетному порядку усувати вразливості, внесені до каталогу.

Бюлетень Fortinet FG-IR-26-122, уперше опублікований 2026-04-14, описує вразливість обходу шляху (CWE-22) в інтерфейсі командного рядка, спільному для FortiOS, FortiProxy, FortiPAM і FortiSwitchManager. За даними Fortinet, зловмисник, який уже має привілейований доступ, може передати спеціально сформовані аргументи наявним командам, щоб записати або видалити довільні файли. Вендор оцінює проблему як середню (Medium) з балом CVSSv3 6.0, класифікує її як таку, що потребує автентифікації, з наслідком у вигляді підвищення привілеїв і позначає як відому експлуатовану. У FortiOS її виправлено у версіях 7.6.5 і 7.4.10 або новіших, тоді як для всіх випусків гілок 7.2, 7.0 і 6.4 виправлення немає, і їх потрібно перевести на виправлений випуск. Як виправлені версії Fortinet вказує FortiProxy 7.6.5 і 7.4.12, FortiPAM 1.7.1 та FortiSwitchManager 7.2.8 і 7.0.7; старіші гілки FortiProxy і FortiPAM також потребують міграції. Віртуальний патч доступний через базу FMWP компанії Fortinet, зазначено в бюлетені.

Підрозділ Unit 42 компанії Palo Alto Networks пов’язав вразливість із вторгненням у телекомунікаційного постачальника керованих послуг (MSP), яке датує вереснем 2024 року й відстежує як CL-STA-0954, також відоме як UNC5820. За даними Unit 42, зловмисники спочатку проексплуатували CVE-2024-47575 на центральному пристрої FortiManager і забрали архів із робочими конфігураціями, криптографічним матеріалом і базами даних, що охоплювали понад 500 керованих міжмережевих екранів FortiGate, які захищали як самого постачальника, так і його клієнтів. За словами дослідників, згодом зловмисники витягли з цих файлів облікові дані, відкрили сесії SSL VPN і зловжили CVE-2025-61624 через функцію auto-script у FortiOS, щоб перейти від доступу адміністратора до прав root. Цей доступ використали для встановлення PEERSTITCH, який Unit 42 описує як новий резидентний у пам’яті імплант для ARM64, що не записує на диск постійного бінарного файлу, не відкриває портів прослуховування й не встановлює вихідних з’єднань, а натомість паразитує на трафіку легітимних процесів.

Unit 42 також повідомив про канал reverse shell (зворотної оболонки), побудований шляхом зловживання модулем Apache mod_md на міжмережевих екранах, і про антифорензичні кроки, як-от зупинення демонів журналювання, очищення журналів збоїв (crash logs) та видалення підроблених облікових записів і об’єктів auto-script невдовзі після використання. За його словами, частина дій зловмисників після отримання доступу нагадує вторгнення, які пов’язували з імовірними державними акторами, і з середнім рівнем упевненості він оцінив, що зловмисники видавали себе за FortiManager, щоб отримувати конфігурації з інших міжмережевих екранів. Unit 42 наголосив, що його розслідування охоплювало лише власне середовище постачальника: клієнтські мережі він не досліджував, а задокументовано ним розкриття конфігурацій та облікових даних клієнтських міжмережевих екранів, а не підтверджену компрометацію самих клієнтських мереж.

Для захисників першочерговий крок — оновити уражені продукти Fortinet або мігрувати з гілок, для яких немає виправлення. Unit 42 рекомендує перевірити ревізії конфігурації FortiOS на наявність об’єктів auto-script, у назвах яких містяться рядки обходу каталогів, перевірити журнали збоїв на помилки сегментації в демонах журналювання, IKE та syslog, шукати незвичні виконувані області пам’яті в демонах журналювання та VPN, а також провести аудит міжпроцесних записів у пам’ять між ними. Дослідники також порадили вважати облікові дані й сертифікати, що зберігаються на платформі керування, скомпрометованими одразу, щойно скомпрометовано саму платформу, оскільки цей довірчий матеріал залишається чинним до ротації. «Ця компрометація також не закінчується з установленням патча на платформу», — написав Unit 42.