Fortinet CVE-2025-25249 in großem Umfang ausgenutzt, um PivotC2-RAT zu installieren

Angreifer scannten mehr als 30.000 IP-Adressen

Bedrohungsakteure nutzen CVE-2025-25249, eine Schwachstelle zur Remotecodeausführung ohne Authentifizierung, die mehrere Fortinet-Produkte betrifft, aktiv aus, um Netzwerksicherheits-Appliances zu kompromittieren und den Fernzugriffstrojaner PivotC2 zu installieren.

Die CISA hat die Schwachstelle am 9. September 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. US-Bundesbehörden müssen die Behebung bis zum 12. September 2026 abschließen; damit bleiben ihnen drei Tage, um exponierte Systeme zu bereinigen und die vorgeschriebene forensische Triage durchzuführen.

Die Untersuchung von SOCRadar, über die SecurityWeek berichtet hat, ergab, dass die Kampagne mehr als 30.000 IP-Adressen ins Visier nahm und 178 Geräte erfolgreich infizierte. Die meisten Ziele befanden sich in den Vereinigten Staaten, und mindestens zwei bestätigte Eindringversuche führten zu Datenexfiltration.

Die Aktivität wurde mit begrenzter Sicherheit einem wahrscheinlich russischsprachigen Cybercrime-Akteur zugeschrieben. Forschende gehen außerdem davon aus, dass PivotC2 wahrscheinlich mit KI-Unterstützung erstellt wurde; die Belege für diese Einschätzung wurden jedoch nicht offengelegt. Berichten zufolge taucht die Schadsoftware mindestens seit Juli 2026 in Angriffen auf.

Ein Heap-Überlauf öffnet die Tür ohne Anmeldedaten

CVE-2025-25249 ist ein heapbasierter Pufferüberlauf, der ohne Authentifizierung aus der Ferne ausgelöst werden kann. Ein Angreifer sendet speziell gestaltete Pakete oder Anfragen an ein betroffenes Produkt, wodurch Daten über die zugewiesene Grenze eines Heap-Puffers hinaus geschrieben werden.

Die Schwachstelle ist CWE-122 zugeordnet, das heapbasierte Pufferüberläufe abdeckt, sowie CWE-787 für Schreibzugriffe außerhalb der Puffergrenzen. Eine erfolgreiche Ausnutzung ermöglicht es dem Angreifer, nicht autorisierten Code oder Befehle auf dem betroffenen Gerät auszuführen.

Es ist keine Benutzerinteraktion erforderlich. Der NVD-CVSS-v3.1-Vektor lautet CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H und ergibt eine Basispunktzahl von 8,1. Dieser Vektor spiegelt die Erreichbarkeit über das Netz, keine erforderlichen Berechtigungen, keine Benutzeraktion sowie potenziell schwerwiegende Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit wider. Die Angriffskomplexität wird als hoch eingestuft.

Eine separate, von SecurityWeek zitierte Bewertung ordnet der Schwachstelle eine CVSS-Bewertung von 7,4 zu. Die CISA nennt in ihrem KEV-Eintrag keine Punktzahl. Der Unterschied in der Bewertung ändert nichts am operativen Status: Die Ausnutzung wurde in freier Wildbahn beobachtet.

Öffentlich verfügbare Berichte nennen weder das genaue Protokoll, die Paketstruktur noch den Speicherkorruptionsablauf, den die Angreifer nutzen. Sie beschreiben auch keine Vorbedingungen außer dem Zugang zu einem verwundbaren Dienst. Unternehmen sollten ihre Expositionsentscheidungen daher nicht auf einen angenommenen Port oder eine unbestätigte Schnittstelle stützen.

FortiOS, FortiSwitchManager und FortiSASE sind betroffen

CISA nennt Fortinet FortiOS, FortiSwitchManager und FortiSASE als betroffene Produkte. Zu den dokumentierten verwundbaren Versionsbereichen gehören:

• FortiOS 7.6.0 bis 7.6.3
• FortiOS 7.4.0 bis 7.4.8
• FortiOS 7.2.0 bis 7.2.11
• FortiOS 7.0.0 bis 7.0.17
• FortiOS 6.4, alle Versionen laut einem NVD-Bereich
• FortiSwitchManager 7.2.0 bis 7.2.6
• FortiSwitchManager 7.0.0 bis 7.0.5
• FortiSASE 25.1.39

Als behobene Versionen werden FortiOS 7.6.4, 7.4.9, 7.2.12 und 7.0.18 sowie FortiSwitchManager 7.2.7 und 7.0.6 genannt. Administratoren sollten diese Versionen oder neuere unterstützte Versionen installieren.

Es gibt eine ungeklärte Ungereimtheit beim FortiOS-6.4-Zweig. Die NVD-Produktdaten verwenden den Schwellenwert „FortiOS vor 6.4.17“, was darauf hindeutet, dass 6.4.17 die erste behobene Version in diesem Zweig ist. Die separat gemeldete Patch-Liste enthält jedoch keine behobene Version aus der Reihe 6.4.x. Unternehmen, die FortiOS 6.4 weiterhin betreiben, sollten den korrekten Upgrade-Pfad direkt anhand der Fortinet-Empfehlung prüfen und sich nicht allein auf die kürzere Patch-Liste verlassen.

Auch FortiSASE erfordert besondere Aufmerksamkeit. CISA und NVD führen das Produkt als betroffen, in den verfügbaren Berichten wurde jedoch keine entsprechende behobene FortiSASE-Version genannt. Kunden sollten die zutreffende Abschwächung oder das Service-Update von Fortinet einholen.

Die Schwachstelle wurde Berichten zufolge im Januar gepatcht; das Jahr wird jedoch nicht genannt. Das fehlende Datum ändert weder die aktuelle Reaktionspflicht noch die Belege für die aktive Ausnutzung.

PivotC2 macht ein kompromittiertes Gateway zu einem internen Brückenkopf

PivotC2 ist eine Node.js-basierte RAT, die als Post-Exploitation-Werkzeug für FortiGate beschrieben wird. Nach der Installation verschafft sie einem Angreifer interaktiven Shell-Zugriff und Fähigkeiten, mit denen sich die Kontrolle über das ursprünglich kompromittierte Gerät hinaus ausweiten lässt.

Zu den gemeldeten Funktionen gehören:

• Interaktive Befehlsausführung
• Traffic-Tunneling
• Interne Netzwerkscans
• Auslesen der Gerätekonfiguration

Diese Fähigkeiten machen ein infiziertes Gateway besonders nützlich für laterale Bewegungen. Traffic-Tunneling kann Angreiferkommunikation über das kompromittierte Gerät leiten, während Netzwerkscans erreichbare interne Systeme identifizieren können. Das Sammeln von Konfigurationsdaten kann die Netzwerktopologie, administrative Einstellungen oder andere für Folgeaktivitäten nützliche Informationen offenlegen.

Die bestätigten Infektionen machen nur einen kleinen Teil der mehr als 30.000 ins Visier genommenen IP-Adressen aus; dennoch führte die Kampagne zu 178 kompromittierten Geräten. Die zwei bekannten Fälle von Datenexfiltration zeigen, dass die Ausnutzung nicht bei der Schwachstellenvalidierung oder der Malware-Installation endete.

Der tatsächliche Umfang könnte größer sein. Es liegen keine Informationen darüber vor, wie die 178 Infektionen bestätigt wurden, wie lange Angreifer präsent blieben oder ob alle angegriffenen Adressen tatsächlich verwundbare und erreichbare Systeme betrafen.

Der KEV-Status führt zu einer unmittelbaren forensischen Untersuchungspflicht

Die KEV-Aufnahme durch die CISA stellt klar, dass CVE-2025-25249 nicht nur in der Theorie ausnutzbar ist. Bundesbehörden müssen die Schwachstelle gemäß BOD 26-04 bis zum 12. September 2026 beheben und dabei auch die Forensics-Triage-Anforderungen der CISA befolgen.

Der KEV-Eintrag kennzeichnet die Verbindung zu Ransomware-Kampagnen als unbekannt. Dieses Feld stellt weder eine Verbindung zwischen PivotC2-Aktivitäten und Ransomware her, noch schließt es eine solche Nutzung aus.

Die CISA weist betroffene Organisationen an, die vom Hersteller bereitgestellten Abschwächungen anzuwenden, die Internetexposition jedes Assets zu bewerten und die geltenden BOD-26-04-Vorgaben für Cloud-Dienste zu befolgen. Gibt es keine Abschwächung, besteht die geforderte Maßnahme darin, die Nutzung des betroffenen Produkts einzustellen.

Auch wenn die verbindliche Frist für US-Bundesbehörden gilt, sind private Organisationen demselben Ausnutzungspfad ausgesetzt. Aus dem Internet erreichbare Fortinet-Appliances sollten die höchste Priorität erhalten, gefolgt von Systemen, die aus nicht vertrauenswürdigen Netzen oder Partnernetzen erreichbar sind.

Erst patchen, dann mögliche Kompromittierung untersuchen

Administratoren sollten sofort eine Bestandsaufnahme der FortiOS-, FortiSwitchManager- und FortiSASE-Bereitstellungen durchführen, einschließlich Appliances, die in herkömmlichen Endpoint-Management-Plattformen möglicherweise nicht auftauchen. Jedes identifizierte Asset sollte mit den verwundbaren Versionsbereichen abgeglichen und gemäß den Fortinet-Anweisungen aktualisiert werden.

Allein durch das Patchen lässt sich nicht belegen, dass ein zuvor exponiertes Gerät sauber ist. Organisationen sollten bei Systemen, die im verwundbaren Zustand erreichbar waren, eine forensische Triage durchführen, insbesondere wenn Konfigurationsänderungen, unerklärliche Prozesse, Tunnelaktivitäten oder ungewöhnliche interne Scans beobachtet werden.

Für PivotC2 wurden keine Hashes, Domains, IP-Adressen, Dateipfade, Prozessnamen oder Netzwerksignaturen offengelegt. Auch ein spezifischer Workaround ist derzeit nicht verfügbar. Der Malware-Name und das beschriebene Verhalten sind daher die einzigen öffentlichen Erkennungshinweise.

Verteidiger sollten, soweit betrieblich möglich, vor dem Upgrade relevante Geräteprotokolle sichern, den administrativen und konfigurationsbezogenen Verlauf überprüfen und die umgebende Netzwerktelemetrie auf unerwartete ausgehende Verbindungen oder Scans untersuchen, die von Fortinet-Appliances ausgehen. Jeder Hinweis auf Shell-Zugriff, unbefugtes Sammeln von Konfigurationsdaten oder die Weiterleitung von Datenverkehr sollte eine umfassendere Incident Response auslösen.

Wenn keine unterstützte behobene Version installiert werden kann, sollten Organisationen die dokumentierte Abschwächung von Fortinet anwenden. Gibt es keine, ist das Entfernen des Produkts aus dem Betrieb die von der CISA vorgeschriebene Maßnahme.