CISA liệt kê lỗ hổng CLI Fortinet CVE-2025-61624 là đã bị khai thác sau khi Unit 42 gắn nó với mã cấy PEERSTITCH

Cơ quan An ninh mạng và An ninh Hạ tầng Hoa Kỳ (CISA) ngày 16 tháng 10 đã bổ sung CVE-2025-61624, một lỗ hổng duyệt đường dẫn (path traversal) trong nhiều sản phẩm Fortinet, vào danh mục Các lỗ hổng đã bị khai thác (KEV) của mình, viện dẫn bằng chứng về việc khai thác đang diễn ra. Bản cập nhật này cũng liệt kê CVE-2026-102764, một lỗi vượt qua xác thực trong BeyondTrust Remote Support. CISA khuyến khích mọi tổ chức ưu tiên khắc phục các lỗ hổng có trong danh mục.

Khuyến cáo FG-IR-26-122 của Fortinet, công bố lần đầu ngày 2026-04-14, mô tả một điểm yếu path traversal (CWE-22) trong giao diện dòng lệnh (CLI) dùng chung bởi FortiOS, FortiProxy, FortiPAM và FortiSwitchManager. Theo Fortinet, kẻ tấn công đã nắm quyền truy cập đặc quyền có thể truyền các đối số được chế tác vào các lệnh sẵn có để ghi hoặc xóa tệp tùy ý. Nhà cung cấp xếp hạng vấn đề ở mức Trung bình với điểm CVSSv3 là 6.0, phân loại nó là cần xác thực với tác động leo thang đặc quyền, và đánh dấu là đã bị khai thác. FortiOS được vá trong 7.6.5 và 7.4.10 trở lên, trong khi mọi bản phát hành của các nhánh 7.2, 7.0 và 6.4 không có bản vá và phải được chuyển sang bản phát hành đã vá. Fortinet liệt kê FortiProxy 7.6.5 và 7.4.12, FortiPAM 1.7.1 cùng FortiSwitchManager 7.2.8 và 7.0.7 là các phiên bản đã vá, các nhánh FortiProxy và FortiPAM cũ hơn cũng cần di chuyển. Một bản vá ảo (virtual patch) có sẵn qua cơ sở dữ liệu FMWP của Fortinet, khuyến cáo cho biết.

Palo Alto Networks Unit 42 gắn lỗ hổng này với một vụ xâm nhập tại một nhà cung cấp dịch vụ quản lý (MSP) viễn thông mà họ xác định thời điểm là tháng 9 năm 2024 và theo dõi dưới tên CL-STA-0954, còn gọi là UNC5820. Theo Unit 42, kẻ tấn công trước tiên khai thác CVE-2024-47575 trên một thiết bị FortiManager trung tâm và lấy đi một kho lưu trữ chứa cấu hình đang chạy, tài liệu mật mã và cơ sở dữ liệu bao trùm hơn 500 tường lửa FortiGate được quản lý, vốn bảo vệ cả nhà cung cấp lẫn khách hàng của họ. Các nhà nghiên cứu cho biết kẻ tấn công sau đó khôi phục thông tin đăng nhập từ các tệp này, mở các phiên SSL VPN, và lạm dụng CVE-2025-61624 thông qua tính năng auto-script của FortiOS để đi từ quyền quản trị viên lên root. Quyền truy cập đó được dùng để cài PEERSTITCH, mà Unit 42 mô tả là một mã cấy ARM64 mới thường trú trong bộ nhớ, không ghi tệp nhị phân bền vững nào xuống đĩa, không mở cổng lắng nghe nào và không tạo kết nối ra ngoài nào, mà thay vào đó bám theo lưu lượng của các tiến trình hợp lệ.

Unit 42 cũng báo cáo một kênh reverse shell được dựng bằng cách lạm dụng mô-đun Apache mod_md trên các tường lửa, cùng các bước chống điều tra số như dừng các daemon ghi nhật ký, xóa nhật ký sự cố (crash log) và xóa các tài khoản giả mạo cùng các đối tượng auto-script ngay sau khi dùng. Họ cho biết một phần những gì kẻ tấn công làm sau khi có quyền truy cập giống với các vụ xâm nhập từng được liên hệ với các tác nhân nghi là cấp nhà nước, và đánh giá với độ tin cậy trung bình rằng kẻ tấn công đã mạo danh FortiManager để kéo cấu hình từ các tường lửa khác. Unit 42 nhấn mạnh rằng cuộc điều tra của họ chỉ bao trùm môi trường của chính nhà cung cấp: họ không kiểm tra các mạng của khách hàng, và điều họ ghi nhận là việc lộ cấu hình và thông tin đăng nhập tường lửa của khách hàng, chứ không phải một vụ xâm phạm được xác nhận vào chính các mạng khách hàng.

Với bên phòng thủ, bước tức thời là nâng cấp các sản phẩm Fortinet bị ảnh hưởng hoặc di chuyển khỏi các nhánh không có bản vá. Unit 42 khuyến nghị rà soát các bản sửa đổi cấu hình FortiOS để tìm các đối tượng auto-script có tên chứa chuỗi directory traversal, kiểm tra nhật ký sự cố để tìm lỗi segmentation fault trong các daemon ghi nhật ký, IKE và syslog, tìm các vùng bộ nhớ thực thi bất thường trong các daemon ghi nhật ký và VPN, và kiểm toán các thao tác ghi bộ nhớ liên tiến trình giữa chúng. Các nhà nghiên cứu cũng khuyên coi thông tin đăng nhập và chứng chỉ do một nền tảng quản lý nắm giữ là đã bị xâm phạm ngay khi nền tảng đó bị xâm phạm, vì tài liệu tin cậy đó vẫn còn hiệu lực cho đến khi được thay mới. “Sự xâm phạm đó cũng không chấm dứt khi nền tảng được vá”, Unit 42 viết.