Un acteur soupçonné d'être soutenu par un État a exploité deux vulnérabilités Fortinet pour obtenir un accès durable à une organisation de télécommunications non nommée, selon les conclusions de Palo Alto Networks rapportées par SecurityWeek.
L'intrusion a eu lieu en septembre 2024. Les enquêteurs suivent cet acteur sous le nom UNC5820, que Palo Alto Networks rattache à CL-STA-0954. L'opération a commencé par la compromission d'un système FortiManager central et a abouti au déploiement de PeerStitch, un implant en mémoire visant les appareils FortiGate.
Pendant l'attaque, l'intrus a exfiltré une archive contenant des informations sur l'installation FortiManager, le réseau de la victime et plus de 500 pare-feu FortiGate gérés. Ce chiffre désigne les appareils représentés dans les données de configuration volées, et non 500 pare-feu confirmés comme compromis.
L'une des failles exploitées, CVE-2025-61624, a été inscrite au catalogue des vulnérabilités connues exploitées (KEV) de l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) le 16 octobre 2026. Le délai de correction pour les agences civiles fédérales américaines expire le 19 octobre 2026.
De la compromission de FortiManager au contrôle des pare-feu
Palo Alto Networks décrit le point d'entrée initial comme CVE-2024-47575, également appelée « FortiJump ». Cette faille critique de FortiManager ne impose pas d'authentification pour une fonction sensible, ce qui permet à des attaquants distants d'exécuter des commandes ou du code arbitraires au moyen de requêtes spécialement construites.
Après avoir exploité le serveur de gestion, l'acteur a enregistré auprès de FortiManager un appareil Virtual FortiGate malveillant. Cela lui a donné accès à l'archive de configuration contenant les détails sur les pare-feu gérés de manière centralisée et sur l'environnement réseau.
Le NVD attribue à CVE-2024-47575 un score CVSS de 9,8, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, et classe la faille comme CWE-306.
Les versions concernées listées dans la description du NVD sont :
- FortiManager 7.6.0
- FortiManager de 7.4.0 à 7.4.4
- FortiManager de 7.2.0 à 7.2.7
- FortiManager de 7.0.0 à 7.0.12
- FortiManager de 6.4.0 à 6.4.14
- FortiManager de 6.2.0 à 6.2.12
- FortiManager Cloud de 7.4.1 à 7.4.4
- FortiManager Cloud de 7.2.1 à 7.2.7
- FortiManager Cloud de 7.0.1 à 7.0.12
- FortiManager Cloud de 6.4.1 à 6.4.7
Selon les informations rapportées, Mandiant avait observé UNC5820 exploitant la faille depuis juin 2024 au moins. Fortinet l'a corrigée en octobre 2024, alors qu'elle était identifiée comme exploitée en tant que zero-day. La CISA l'a ajoutée au catalogue KEV le 23 octobre 2024, avec un délai de correction fédéral fixé au 13 novembre 2024.
CVE-2025-61624 a permis de déployer PeerStitch
La même intrusion a aussi impliqué CVE-2025-61624, une vulnérabilité de traversée de répertoires touchant FortiOS, FortiPAM, FortiProxy et FortiSwitchManager.
Selon le NVD, un attaquant authentifié disposant d'un profil administrateur avec au moins des droits en lecture-écriture peut utiliser des commandes CLI spécifiques pour écrire ou supprimer des fichiers arbitraires. Le NVD attribue à la faille un score CVSS de 6,0, avec le vecteur CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H.
Le score reflète les privilèges élevés requis dans les conditions générales d'attaque de la vulnérabilité. Dans l'intrusion dans une entreprise de télécommunications décrite par Palo Alto Networks, en revanche, l'attaquant avait déjà compromis l'environnement de gestion. Selon les chercheurs, UNC5820 a utilisé la faille pour obtenir un accès root au système FortiOS sous-jacent et y placer un script qui a lancé le déploiement de PeerStitch.
Fortinet a corrigé CVE-2025-61624 en avril 2026 et a signalé une exploitation zero-day dès la divulgation. La description du NVD liste les versions concernées suivantes :
- FortiOS de 7.6.0 à 7.6.4
- FortiOS de 7.4.0 à 7.4.9
- Toutes les versions de FortiOS 7.2, 7.0 et 6.4
- FortiPAM 1.7.0 et toutes les versions des branches 1.6 à 1.0
- FortiProxy de 7.6.0 à 7.6.4
- FortiProxy de 7.4.0 à 7.4.11
- Toutes les versions de FortiProxy 7.2 et 7.0
- FortiSwitchManager de 7.2.0 à 7.2.7
- FortiSwitchManager de 7.0.0 à 7.0.6
Le résumé produit du NVD identifie FortiOS 7.4.10, FortiPAM 1.7.1, FortiProxy 7.4.12 et FortiSwitchManager 7.0.7 comme seuils de version pertinents. Ces seuils ne couvrent pas toutes les branches concernées de la description complète du NVD, notamment les versions 7.6 de FortiOS et de FortiProxy, ainsi que plusieurs branches plus anciennes.
PeerStitch se dissimule dans les processus légitimes des appareils
Palo Alto Networks décrit PeerStitch comme un implant ARM64 écrit en C. Plutôt que d'installer un exécutable persistant classique, il agit comme un injecteur à usage unique qui modifie la mémoire des processus en cours d'exécution.
Selon les informations rapportées, l'implant cible trois composants de FortiOS :
- le système de gestion central ;
- le composant de journalisation du trafic ;
- les démons qui prennent en charge les services VPN IKE/IPsec.
Selon les chercheurs, PeerStitch n'ouvre aucun port d'écoute et n'initie pas de connexion sortante propre. Il fait transiter les données par le trafic généré par des processus légitimes de l'appareil, créant ainsi un pont de communication discret en mémoire entre ses cibles. Palo Alto Networks indique que cette conception contournait les contrôles de sécurité par défaut de FortiOS et réduisait les traces sur disque disponibles pour les enquêteurs.
L'acteur s'est ensuite fait passer pour FortiManager dans les communications FortiGate-vers-FortiManager (FGFM), ce qui lui permettait d'envoyer des commandes depuis une infrastructure externe. Les chercheurs ont également signalé des efforts importants pour effacer les traces forensiques.
Palo Alto Networks propose deux méthodes possibles pour prendre le contrôle de l'identité de gestion. L'acteur a peut-être perturbé la session légitime de FortiManager en exploitant CVE-2024-26008, ou il s'est peut-être authentifié à l'aide de secrets obtenus à partir des données de configuration exfiltrées.
CVE-2024-26008 est une vulnérabilité du démon FGFM qui peut permettre à un attaquant non authentifié de réinitialiser à plusieurs reprises une connexion au moyen de requêtes TCP chiffrées en SSL spécialement forgées. Le compte rendu disponible ne permet pas de déterminer laquelle de ces deux méthodes a été utilisée dans cette intrusion.
Ce que doivent faire les administrateurs Fortinet
Les agences civiles fédérales américaines doivent corriger CVE-2025-61624 avant le 19 octobre 2026. La CISA demande aux agences d'appliquer les mesures d'atténuation du fournisseur, de se conformer à BOD 26-04 Prioritizing Security Updates Based on Risk et de suivre ses Forensics Triage Requirements. Pour les services cloud, les agences doivent suivre les directives applicables du BOD 26-04 ou cesser d'utiliser le produit si aucune mesure d'atténuation n'est disponible.
Les autres organisations utilisant les produits concernés devraient également traiter cette faille en priorité, car son inscription au catalogue KEV reflète une exploitation observée. Les administrateurs doivent :
- mettre à niveau FortiOS 7.4 vers la version 7.4.10 ou ultérieure, FortiPAM vers la version 1.7.1 ou ultérieure, FortiProxy 7.4 vers la version 7.4.12 ou ultérieure, et FortiSwitchManager 7.0 vers la version 7.0.7 ou ultérieure ;
- appliquer la version corrigée ou la mesure d'atténuation prescrite par le fournisseur pour les branches concernées non couvertes par ces seuils ;
- vérifier que CVE-2024-47575 a été traitée sur chaque instance FortiManager et FortiManager Cloud ;
- rechercher dans FortiManager les enregistrements non autorisés de Virtual FortiGate ;
- examiner les sessions FGFM inattendues, en particulier le trafic de gestion impliquant une infrastructure externe ;
- remplacer les identifiants et secrets de gestion lorsque les archives de configuration ont pu être exposées ;
- intégrer les preuves en mémoire volatile et au niveau du plan de gestion au tri forensique, plutôt que de se fier uniquement aux fichiers stockés sur disque.
Pour CVE-2024-47575, l'action exigée par la CISA reste d'appliquer les mesures d'atténuation de Fortinet ou de cesser d'utiliser le produit concerné si ces mesures ne sont pas disponibles.
