Un actor de presunto respaldo estatal explotó dos vulnerabilidades de Fortinet para obtener acceso prolongado a una organización de telecomunicaciones que no ha sido identificada, según hallazgos de Palo Alto Networks reportados por SecurityWeek.
La intrusión tuvo lugar en septiembre de 2024. Los investigadores siguen al actor como UNC5820, que Palo Alto Networks asocia con CL-STA-0954. La operación comenzó con el compromiso de un sistema central FortiManager y avanzó hasta el despliegue de PeerStitch, un implante en memoria dirigido a equipos FortiGate.
Durante el ataque, el intruso extrajo un archivo con información sobre la instalación de FortiManager, la red de la víctima y más de 500 cortafuegos FortiGate gestionados. Esa cifra describe los dispositivos que aparecen en los datos de configuración robados, no 500 cortafuegos confirmados como comprometidos.
Una de las fallas explotadas, CVE-2025-61624, se incluyó en el catálogo Known Exploited Vulnerabilities de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) el 16 de octubre de 2026. El plazo de remediación para las agencias civiles federales de Estados Unidos vence el 19 de octubre de 2026.
Del compromiso de FortiManager al control de los cortafuegos
Palo Alto Networks describió el punto de entrada inicial como CVE-2024-47575, también conocida como «FortiJump». La vulnerabilidad crítica de FortiManager carece de autenticación para una función sensible, lo que permite a atacantes remotos ejecutar comandos o código arbitrarios mediante solicitudes especialmente construidas.
Tras explotar el servidor de gestión, el actor registró en FortiManager un equipo Virtual FortiGate no autorizado. Así obtuvo una vía hacia el archivo de configuración con detalles sobre los cortafuegos gestionados de forma centralizada y el entorno de red.
El NVD asigna a CVE-2024-47575 una puntuación CVSS de 9,8, con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, y la clasifica como CWE-306.
Las versiones afectadas que aparecen en la descripción del NVD son:
- FortiManager 7.6.0
- FortiManager de 7.4.0 a 7.4.4
- FortiManager de 7.2.0 a 7.2.7
- FortiManager de 7.0.0 a 7.0.12
- FortiManager de 6.4.0 a 6.4.14
- FortiManager de 6.2.0 a 6.2.12
- FortiManager Cloud de 7.4.1 a 7.4.4
- FortiManager Cloud de 7.2.1 a 7.2.7
- FortiManager Cloud de 7.0.1 a 7.0.12
- FortiManager Cloud de 6.4.1 a 6.4.7
Según la información publicada, Mandiant había observado a UNC5820 explotando la falla al menos desde junio de 2024. Fortinet la parcheó en octubre de 2024, cuando se identificó que había sido explotada como día cero. CISA la añadió al catálogo KEV el 23 de octubre de 2024, con un plazo de remediación federal hasta el 13 de noviembre de 2024.
CVE-2025-61624 entregó PeerStitch
En la misma intrusión también intervino CVE-2025-61624, una vulnerabilidad de recorrido de rutas que afecta a FortiOS, FortiPAM, FortiProxy y FortiSwitchManager.
El NVD indica que un atacante autenticado con un perfil de administrador y al menos permisos de lectura y escritura puede usar comandos CLI específicos para escribir o eliminar archivos arbitrarios. Asigna a la falla una puntuación CVSS de 6,0 y el vector CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H.
La puntuación refleja los altos privilegios requeridos en las condiciones generales de ataque de la vulnerabilidad. Sin embargo, en la intrusión contra la empresa de telecomunicaciones descrita por Palo Alto Networks, el atacante ya había comprometido el entorno de gestión. Los investigadores señalaron que UNC5820 usó la falla para obtener acceso root al sistema FortiOS subyacente y colocar un script que inició el despliegue de PeerStitch.
Fortinet parcheó CVE-2025-61624 en abril de 2026 y la marcó como explotación de día cero en el momento de su divulgación. La descripción del NVD enumera estas versiones afectadas:
- FortiOS de 7.6.0 a 7.6.4
- FortiOS de 7.4.0 a 7.4.9
- Todas las versiones de FortiOS 7.2, 7.0 y 6.4
- FortiPAM 1.7.0 y todas las versiones de las ramas 1.6 a 1.0
- FortiProxy de 7.6.0 a 7.6.4
- FortiProxy de 7.4.0 a 7.4.11
- Todas las versiones de FortiProxy 7.2 y 7.0
- FortiSwitchManager de 7.2.0 a 7.2.7
- FortiSwitchManager de 7.0.0 a 7.0.6
El resumen de productos del NVD identifica como umbrales de versión relevantes FortiOS 7.4.10, FortiPAM 1.7.1, FortiProxy 7.4.12 y FortiSwitchManager 7.0.7. Esos umbrales no cubren todas las ramas afectadas de la descripción completa del NVD, incluidas las versiones 7.6 de FortiOS y FortiProxy y varias ramas más antiguas.
PeerStitch se oculta dentro de procesos legítimos del equipo
Palo Alto Networks caracterizó a PeerStitch como un implante ARM64 escrito en C. En lugar de instalar un ejecutable persistente convencional, actúa como un inyector de un solo uso que modifica la memoria de los procesos en ejecución.
Según se informa, el implante tiene como objetivo tres áreas de FortiOS:
- el sistema central de gestión;
- el componente de registro de tráfico;
- los demonios que dan soporte a los servicios VPN IKE/IPsec.
Según los investigadores, PeerStitch no abre un puerto de escucha ni inicia una conexión saliente propia. En cambio, transmite datos a través del tráfico generado por procesos legítimos del equipo, creando un puente de comunicación encubierto en memoria entre sus objetivos. Palo Alto Networks afirmó que este diseño eludía las comprobaciones de seguridad predeterminadas de FortiOS y reducía los artefactos en disco disponibles para los investigadores.
Después, el actor suplantó a FortiManager en las comunicaciones FortiGate-to-FortiManager (FGFM), lo que permitió enviar comandos desde infraestructura externa. Los investigadores también informaron de amplios esfuerzos por eliminar rastros forenses.
Palo Alto Networks propuso dos posibles métodos para apropiarse de la identidad de gestión. El actor pudo haber interrumpido la sesión legítima de FortiManager mediante CVE-2024-26008, o pudo haberse autenticado con secretos obtenidos de los datos de configuración extraídos.
CVE-2024-26008 es una vulnerabilidad del demonio FGFM que puede permitir a un atacante no autenticado restablecer repetidamente una conexión mediante solicitudes TCP cifradas con SSL especialmente diseñadas. El relato disponible no permite establecer cuál de los dos métodos se utilizó en esta intrusión.
Qué deben hacer los administradores de Fortinet
Las agencias civiles federales de Estados Unidos deben remediar CVE-2025-61624 antes del 19 de octubre de 2026. CISA les pide aplicar las mitigaciones del proveedor, cumplir con BOD 26-04 Prioritizing Security Updates Based on Risk y seguir sus Forensics Triage Requirements. En el caso de servicios en la nube, las agencias deben seguir la guía aplicable de la BOD 26-04 o dejar de usar el producto si no hay mitigaciones disponibles.
Otras organizaciones que usen los productos afectados también deberían priorizar esta falla, porque su inclusión en KEV refleja explotación observada. Los administradores deben:
- actualizar FortiOS 7.4 a 7.4.10 o una versión posterior, FortiPAM a 1.7.1 o posterior, FortiProxy 7.4 a 7.4.12 o posterior, y FortiSwitchManager 7.0 a 7.0.7 o posterior;
- aplicar la versión corregida o la mitigación prescrita por el proveedor para las ramas afectadas que no cubren esos umbrales;
- verificar que CVE-2024-47575 se haya corregido en todas las instancias de FortiManager y FortiManager Cloud;
- revisar FortiManager en busca de registros no autorizados de Virtual FortiGate;
- revisar las sesiones FGFM inesperadas, sobre todo el tráfico de gestión que involucre infraestructura externa;
- reemplazar las credenciales y los secretos de gestión cuando los archivos de configuración puedan haber quedado expuestos;
- incluir evidencias de memoria volátil y del plano de gestión en el análisis forense, en lugar de basarse solo en archivos almacenados en disco.
Para CVE-2024-47575, la acción que exige CISA sigue siendo aplicar las mitigaciones de Fortinet o dejar de usar el producto afectado si no hay mitigaciones disponibles.
