Fortinet FortiOS și FortiProxy: CVE-2025-61624 exploatată (KEV)

Pe 16 octombrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) vulnerabilitatea CVE-2025-61624, de tip path traversal, care afectează mai multe produse Fortinet: FortiOS, sistemul de operare al firewall-urilor FortiGate, FortiProxy, FortiPAM și FortiSwitchManager. Catalogul KEV reunește vulnerabilitățile pentru care CISA are dovezi de exploatare activă.

Potrivit descrierii din fișa NVD, vulnerabilitatea permite unui atacator autentificat, cu profil de administrator și cel puțin permisiuni de citire și scriere, să scrie sau să șteargă fișiere arbitrare în sistem prin anumite comenzi CLI.

Ce s-a întâmplat

Vulnerabilitatea nu este nouă: fișa NVD a fost publicată pe 14 aprilie 2026, cu trimitere la buletinul Fortinet FG-IR-26-122. Noutatea este includerea în catalogul KEV, care semnalează exploatarea în atacuri reale.

CISA a înregistrat vulnerabilitatea drept „Fortinet Multiple Products Path Traversal Vulnerability” și a stabilit ca termen pentru agențiile federale americane 19 octombrie 2026: trei zile, un termen foarte scurt. Utilizarea în campanii ransomware este indicată ca „necunoscută”.

Avizul cere aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, în acord cu directiva BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și cu cerințele de triaj criminalistic ale CISA. Dacă nu există măsuri de atenuare, produsul trebuie scos din uz. Avizul cere și evaluarea expunerii la Internet a fiecărui sistem.

Catalogul nu oferă detalii despre atacurile observate, despre autori sau despre victime.

Detalii tehnice

• CVE: CVE-2025-61624; fișa NVD a fost analizată și actualizată pe 16 octombrie 2026.
• Slăbiciune: CWE-22, limitarea incorectă a unei căi la un director restricționat (path traversal).
• Condiție: un cont cu profil de administrator și cel puțin permisiuni de citire și scriere.
• Efect: scrierea sau ștergerea de fișiere arbitrare prin anumite comenzi CLI.
• Gravitate: ambele scoruri CVSS 3.1 sunt de nivel mediu, dar diferă în privința vectorului de atac.
  • Fortinet acordă 6.0, AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H, cu vector local;
  • NVD acordă 6.5, AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H, cu vector de rețea.
  • În ambele cazuri sunt necesare privilegii ridicate, iar impactul este ridicat asupra integrității și disponibilității, nul asupra confidențialității.
• Versiuni afectate (descrierea din fișa NVD):
  • FortiOS de la 7.6.0 la 7.6.4 și de la 7.4.0 la 7.4.9; toate versiunile ramurilor 7.2, 7.0 și 6.4;
  • FortiPAM 1.7.0 și toate versiunile ramurilor de la 1.0 la 1.6;
  • FortiProxy de la 7.6.0 la 7.6.4 și de la 7.4.0 la 7.4.11; toate versiunile ramurilor 7.2 și 7.0;
  • FortiSwitchManager de la 7.2.0 la 7.2.7 și de la 7.0.0 la 7.0.6.
• Primele versiuni neafectate conform intervalelor din fișa NVD: FortiOS 7.4.10 și 7.6.5, FortiPAM 1.7.1, FortiProxy 7.4.12 și 7.6.5, FortiSwitchManager 7.0.7 și 7.2.8. Pentru ramurile indicate cu „toate versiunile”, fișa nu indică o versiune corectată în aceeași ramură.
• Alte produse: fișa NVD include și firmware-ul Siemens RUGGEDCOM APE1808, cu buletinul Siemens SSA-975644.
• Referințe: pe lângă buletinele Fortinet și Siemens, fișa NVD citează o analiză Unit 42 (Palo Alto Networks) despre CVE-2024-47575 din FortiManager și despre malware-ul PeerStitch. Fișa nu explică legătura cu această vulnerabilitate.

Impactul pentru companiile europene și italiene

Produsele afectate se află adesea în centrul rețelei: firewall-uri, proxy-uri, gestionarea accesului privilegiat și gestionarea switch-urilor. Cine poate scrie sau șterge fișiere pe aceste echipamente le poate altera funcționarea și integritatea, așa cum arată vectorii CVSS.

Vulnerabilitatea necesită un cont de administrator cu permisiuni de scriere: exploatarea presupune deci că atacatorul are deja aceste credențiale sau un acces echivalent. Scorul mediu nu este un motiv de relaxare: CISA are dovezi de exploatare activă și a stabilit un termen de trei zile.

Pentru entitățile care intră sub incidența NIS2, compromiterea unui firewall sau a unui sistem de gestionare a accesului privilegiat este un incident care trebuie evaluat în vederea notificării către CSIRT-ul național, care în Italia este CSIRT Italia al ACN. Același lucru este valabil pentru unitățile sanitare, unde aceste echipamente protejează rețele care prelucrează date personale și clinice.

Ce trebuie să faci imediat

1. Fă inventarul: identifică toate echipamentele cu FortiOS, FortiProxy, FortiPAM și FortiSwitchManager, fizice și virtuale, cu versiunea instalată. Dacă folosești Siemens RUGGEDCOM APE1808, consultă buletinul SSA-975644.
2. Actualizează: urmează buletinul Fortinet FG-IR-26-122 pentru versiunea corectată a ramurii tale. Potrivit fișei NVD, primele versiuni neafectate sunt FortiOS 7.4.10 și 7.6.5, FortiPAM 1.7.1, FortiProxy 7.4.12 și 7.6.5, FortiSwitchManager 7.0.7 și 7.2.8. Pentru ramurile în care toate versiunile sunt afectate, verifică în buletin calea de migrare.
3. Dacă nu poți actualiza, aplică măsurile de atenuare indicate de producător. Dacă nu există, CISA indică scoaterea produsului din uz.
4. Evaluează expunerea, așa cum cere avizul CISA: verifică din ce rețele pot fi accesate interfețele de administrare ale echipamentelor.
5. Verifică administratorii: ca bună practică generală, având în vedere condiția vulnerabilității, verifică conturile cu profil de administrator și permisiuni de scriere și elimină-le pe cele care nu sunt necesare.
6. Caută urme: examinează jurnalele activității administrative și ale comenzilor CLI pentru autentificări și operațiuni neașteptate. Dacă găsești urme, tratează echipamentul ca fiind compromis, urmează indicațiile Fortinet și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Sentry colectează într-un colector central jurnalele firewall-urilor și ale celorlalte dispozitive de rețea și oferă pagini dedicate firewall-urilor, cu starea firmware-ului: te ajută să afli ce echipamente trebuie actualizate și să urmărești autentificările și activitățile anormale. ARX Expose arată ce servicii expune compania ta pe Internet, produsele recunoscute și vulnerabilitățile lor cunoscute. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților.

Ultima actualizare: 16 octombrie 2026