Ein mutmaßlich staatlich unterstützter Akteur nutzte zwei Fortinet-Schwachstellen aus, um sich langfristigen Zugriff auf ein nicht namentlich genanntes Telekommunikationsunternehmen zu verschaffen. Grundlage sind Erkenntnisse von Palo Alto Networks, über die SecurityWeek berichtete.
Der Einbruch fand im September 2024 statt. Die Ermittler führen den Akteur als UNC5820, den Palo Alto Networks CL-STA-0954 zuordnet. Der Angriff begann mit der Kompromittierung eines zentralen FortiManager-Systems und führte anschließend zur Installation von PeerStitch, einem im Arbeitsspeicher wirkenden Implantat, das auf FortiGate-Geräte abzielt.
Während des Angriffs schleuste der Eindringling ein Archiv aus, das Informationen über die FortiManager-Installation, das Netzwerk des Opfers und mehr als 500 verwaltete FortiGate-Firewalls enthielt. Diese Zahl beschreibt die Geräte, die in den gestohlenen Konfigurationsdaten vorkommen. Sie bedeutet nicht, dass 500 Firewalls nachweislich kompromittiert wurden.
Eine der ausgenutzten Schwachstellen, CVE-2025-61624, wurde am 16. Oktober 2026 in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) der US-Behörde Cybersecurity and Infrastructure Security Agency aufgenommen. Die Frist zur Behebung für zivile US-Bundesbehörden endet am 19. Oktober 2026.
Von der Kompromittierung von FortiManager zur Firewall-Kontrolle
Palo Alto Networks beschreibt den Einstiegspunkt als CVE-2024-47575, auch bekannt als „FortiJump“. Der kritische Fehler in FortiManager besteht darin, dass für eine sensible Funktion keine Authentifizierung verlangt wird. Dadurch können Angreifer aus der Ferne über speziell aufgebaute Anfragen beliebige Befehle oder Code ausführen.
Nach der Ausnutzung des Verwaltungsservers registrierte der Akteur ein unautorisiertes Virtual FortiGate-Gerät bei FortiManager. So erhielt er Zugang zum Konfigurationsarchiv mit Details zu den zentral verwalteten Firewalls und zur Netzwerkumgebung.
Die NVD vergibt für CVE-2024-47575 einen CVSS-Score von 9,8 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H und ordnet die Lücke CWE-306 zu.
In der NVD-Beschreibung sind folgende betroffene Versionen aufgeführt:
- FortiManager 7.6.0
- FortiManager 7.4.0 bis 7.4.4
- FortiManager 7.2.0 bis 7.2.7
- FortiManager 7.0.0 bis 7.0.12
- FortiManager 6.4.0 bis 6.4.14
- FortiManager 6.2.0 bis 6.2.12
- FortiManager Cloud 7.4.1 bis 7.4.4
- FortiManager Cloud 7.2.1 bis 7.2.7
- FortiManager Cloud 7.0.1 bis 7.0.12
- FortiManager Cloud 6.4.1 bis 6.4.7
Laut Berichterstattung hatte Mandiant die Ausnutzung der Schwachstelle durch UNC5820 seit mindestens Juni 2024 beobachtet. Fortinet schloss die Lücke im Oktober 2024, als bereits bekannt war, dass sie als Zero-Day ausgenutzt wurde. Die CISA nahm sie am 23. Oktober 2024 in den KEV-Katalog auf, mit einer Frist für Bundesbehörden bis zum 13. November 2024.
Über CVE-2025-61624 wurde PeerStitch eingeschleust
Am selben Einbruch war auch CVE-2025-61624 beteiligt, eine Path-Traversal-Schwachstelle in FortiOS, FortiPAM, FortiProxy und FortiSwitchManager.
Die NVD erklärt, dass ein authentifizierter Angreifer mit einem Administratorprofil und mindestens Lese- und Schreibrechten über bestimmte CLI-Befehle beliebige Dateien schreiben oder löschen kann. Der Lücke wird ein CVSS-Score von 6,0 und der Vektor CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H zugewiesen.
Der Score spiegelt die hohen Berechtigungen wider, die unter den allgemeinen Angriffsbedingungen der Schwachstelle erforderlich sind. Bei dem von Palo Alto Networks beschriebenen Telekommunikationseinbruch hatte der Angreifer die Verwaltungsumgebung jedoch bereits kompromittiert. Die Forscher berichteten, UNC5820 habe die Lücke genutzt, um Root-Zugriff auf das zugrunde liegende FortiOS-System zu erlangen, und ein Skript abgelegt, das die Installation von PeerStitch anstieß.
Fortinet schloss CVE-2025-61624 im April 2026 und stufte die Ausnutzung bei der Offenlegung als Zero-Day ein. In der NVD-Beschreibung sind diese betroffenen Versionen aufgeführt:
- FortiOS 7.6.0 bis 7.6.4
- FortiOS 7.4.0 bis 7.4.9
- Alle Versionen von FortiOS 7.2, 7.0 und 6.4
- FortiPAM 1.7.0 sowie alle Versionen der Zweige 1.6 bis 1.0
- FortiProxy 7.6.0 bis 7.6.4
- FortiProxy 7.4.0 bis 7.4.11
- Alle Versionen von FortiProxy 7.2 und 7.0
- FortiSwitchManager 7.2.0 bis 7.2.7
- FortiSwitchManager 7.0.0 bis 7.0.6
Die NVD-Produktübersicht nennt FortiOS 7.4.10, FortiPAM 1.7.1, FortiProxy 7.4.12 und FortiSwitchManager 7.0.7 als relevante Versionsgrenzen. Diese Schwellenwerte decken nicht jeden betroffenen Zweig ab, der in der ausführlicheren NVD-Beschreibung aufgeführt ist. Dazu gehören unter anderem FortiOS- und FortiProxy-Versionen der Reihe 7.6 sowie mehrere ältere Zweige.
PeerStitch versteckt sich in legitimen Gerätprozessen
Palo Alto Networks beschreibt PeerStitch als in C geschriebenes ARM64-Implantat. Statt eine klassische, dauerhafte ausführbare Datei zu installieren, wirkt es als einmaliger Injektor, der den Speicher laufender Prozesse verändert.
Das Implantat zielt laut Berichten auf drei Bereiche von FortiOS ab:
- das zentrale Verwaltungssystem;
- die Komponente zur Protokollierung des Datenverkehrs;
- die Daemons, die die IKE/IPsec-VPN-Dienste unterstützen.
Laut den Forschern öffnet PeerStitch weder einen lauschenden Port, noch baut es eine eigene ausgehende Verbindung auf. Stattdessen leitet es Daten über den Datenverkehr legitimer Geräteprozesse weiter und schafft so eine verdeckte Kommunikationsbrücke im Arbeitsspeicher zwischen seinen Zielen. Palo Alto Networks zufolge umging dieser Aufbau die standardmäßigen Sicherheitsprüfungen von FortiOS und reduzierte die Spuren auf der Festplatte, die Ermittlern zur Verfügung stehen.
Anschließend gab sich der Akteur in der FortiGate-zu-FortiManager-Kommunikation (FGFM) als FortiManager aus und konnte so Befehle von externer Infrastruktur aus senden. Die Forscher berichteten außerdem von umfangreichen Bemühungen, forensische Spuren zu beseitigen.
Palo Alto Networks nannte zwei mögliche Methoden, mit denen die Verwaltungsidentität übernommen wurde. Der Akteur könnte die legitime FortiManager-Sitzung mithilfe von CVE-2024-26008 unterbrochen haben, oder er könnte sich mit Zugangsdaten authentifiziert haben, die aus den abgeflossenen Konfigurationsdaten stammten.
CVE-2024-26008 ist eine Schwachstelle im FGFM-Daemon, durch die ein nicht authentifizierter Angreifer eine Verbindung über speziell gestaltete, SSL-verschlüsselte TCP-Anfragen wiederholt zurücksetzen kann. Die vorliegenden Informationen lassen nicht erkennen, welche der beiden Methoden bei diesem Einbruch angewendet wurde.
Was Fortinet-Administratoren tun sollten
Zivile US-Bundesbehörden müssen CVE-2025-61624 bis zum 19. Oktober 2026 beheben. Die CISA weist die Behörden an, Herstellermaßnahmen anzuwenden, BOD 26-04 Prioritizing Security Updates Based on Risk zu befolgen und deren Forensics Triage Requirements umzusetzen. Für Cloud-Dienste müssen Behörden die einschlägigen Vorgaben aus BOD 26-04 einhalten oder das Produkt abschalten, falls keine Gegenmaßnahmen verfügbar sind.
Andere Organisationen, die die betroffenen Produkte einsetzen, sollten die Schwachstelle ebenfalls priorisieren, da ihre KEV-Aufnahme auf beobachtete Ausnutzung zurückgeht. Administratoren sollten:
- FortiOS 7.4 auf 7.4.10 oder höher, FortiPAM auf 1.7.1 oder höher, FortiProxy 7.4 auf 7.4.12 oder höher und FortiSwitchManager 7.0 auf 7.0.7 oder höher aktualisieren;
- für betroffene Zweige, die von diesen Versionsgrenzen nicht abgedeckt werden, die vom Hersteller vorgegebene korrigierte Version oder Gegenmaßnahme anwenden;
- prüfen, ob CVE-2024-47575 auf jeder FortiManager- und FortiManager-Cloud-Instanz behoben wurde;
- FortiManager auf unautorisierte Virtual-FortiGate-Registrierungen untersuchen;
- unerwartete FGFM-Sitzungen prüfen, insbesondere Verwaltungsdatenverkehr mit externer Infrastruktur;
- Verwaltungszugangsdaten und Geheimnisse ersetzen, wenn Konfigurationsarchive möglicherweise offengelegt wurden;
- Beweise aus dem flüchtigen Speicher und der Verwaltungsebene in die forensische Triage einbeziehen, statt sich nur auf Dateien auf der Festplatte zu stützen.
Für CVE-2024-47575 bleibt die von der CISA geforderte Maßnahme unverändert: Fortinets Gegenmaßnahmen anwenden oder die Nutzung des betroffenen Produkts einstellen, falls keine Gegenmaßnahmen verfügbar sind.
