CISA 将 Fortinet CLI 漏洞 CVE-2025-61624 列为已遭利用，此前 Unit 42 将其与 PEERSTITCH 植入程序关联

美国网络安全和基础设施安全局（CISA）于10月16日将 CVE-2025-61624——多款 Fortinet 产品中的一个路径遍历（path traversal）漏洞——加入其已知被利用漏洞（KEV）目录，理由是有证据显示该漏洞正被积极利用。同一次更新还收录了 CVE-2026-102764，即 BeyondTrust Remote Support 中的一个身份验证绕过漏洞。CISA 鼓励所有组织优先修复目录中列出的漏洞。

Fortinet 的安全公告 FG-IR-26-122 首次发布于 2026-04-14，描述了 FortiOS、FortiProxy、FortiPAM 和 FortiSwitchManager 共用的命令行界面（CLI）中的一个路径遍历弱点（CWE-22）。据 Fortinet 称，已经持有特权访问权限的攻击者可向现有命令传入精心构造的参数，从而写入或删除任意文件。该厂商将此问题评定为中危，CVSSv3 评分为 6.0，归类为需经身份验证、影响为权限提升，并标记为已知被利用。FortiOS 在 7.6.5 和 7.4.10 及更高版本中已修复，而 7.2、7.0 和 6.4 分支的所有版本均无修复，必须迁移到已修复的版本。Fortinet 列出的已修复版本为 FortiProxy 7.6.5 和 7.4.12、FortiPAM 1.7.1 以及 FortiSwitchManager 7.2.8 和 7.0.7，较旧的 FortiProxy 和 FortiPAM 分支同样需要迁移。公告称，可通过 Fortinet 的 FMWP 数据库获得虚拟补丁。

Palo Alto Networks Unit 42 将该漏洞与一家电信托管服务提供商（MSP）遭受的入侵事件联系起来，该事件被其追溯至2024年9月，并以 CL-STA-0954（又称 UNC5820）进行追踪。据 Unit 42 称，攻击者首先在一台中央 FortiManager 设备上利用了 CVE-2024-47575，并窃取了一份归档文件，其中包含涵盖 500 多台受管 FortiGate 防火墙的运行配置、加密材料和数据库，这些防火墙同时保护着该提供商及其客户。研究人员表示，攻击者随后从这些文件中恢复出凭据，建立 SSL VPN 会话，并通过 FortiOS 的 auto-script 功能滥用 CVE-2025-61624，从管理员权限提升至 root。该权限被用于安装 PEERSTITCH，Unit 42 将其描述为一种新型驻留内存的 ARM64 植入程序，它不向磁盘写入任何持久化二进制文件，不开放任何监听端口，也不发起任何出站连接，而是搭载在合法进程的流量之上。

Unit 42 还报告了通过滥用防火墙上的 Apache mod_md 模块构建的反向 shell 通道，以及一些反取证手段，例如停止日志守护进程、清除崩溃日志，并在使用后不久删除非法账户和 auto-script 对象。该机构表示，攻击者在获得访问权限后的部分行为，与此前被关联到疑似国家级行为者的入侵活动相似，并以中等置信度评估认为攻击者曾冒充 FortiManager 从其他防火墙拉取配置。Unit 42 强调，其调查仅覆盖该提供商自身的环境：它没有检查客户网络，其所记录的是客户防火墙配置和凭据的暴露，而非客户网络本身已被确认入侵。

对防御者而言，当前的首要步骤是升级受影响的 Fortinet 产品，或迁移没有修复的分支。Unit 42 建议检查 FortiOS 配置修订记录中名称含有目录遍历字符串的 auto-script 对象，检查崩溃日志中日志、IKE 和 syslog 守护进程的段错误，查找日志和 VPN 守护进程中异常的可执行内存区域，并审计它们之间的跨进程内存写入。研究人员还建议，一旦管理平台遭到入侵，就应将其持有的凭据和证书视为已泄露，因为这些信任材料在轮换之前始终有效。Unit 42 写道：“这种泄露也不会因平台打上补丁而结束。”