La vulnérabilité Fortinet CVE-2025-25249 exploitée à grande échelle pour installer le RAT PivotC2

Les attaquants ont scanné plus de 30 000 adresses IP

Des acteurs malveillants exploitent activement la CVE-2025-25249, une vulnérabilité d'exécution de code à distance sans authentification affectant plusieurs produits Fortinet, afin de compromettre des appliances de sécurité réseau et d'installer le cheval de Troie d'accès distant PivotC2.

La CISA a ajouté cette vulnérabilité à son catalogue des vulnérabilités exploitées connues le 9 septembre 2026. Les agences fédérales américaines doivent avoir achevé la remédiation d'ici le 12 septembre 2026, ce qui leur laisse trois jours pour sécuriser les systèmes exposés et réaliser le triage forensique requis.

L'enquête de SOCRadar, rapportée par SecurityWeek, a révélé que la campagne a ciblé plus de 30 000 adresses IP et infecté avec succès 178 appareils. La majorité des cibles se trouvaient aux États-Unis, et au moins deux intrusions confirmées ont conduit à une exfiltration de données.

Cette activité a été attribuée avec un niveau de confiance limité à un acteur de cybercriminalité probablement russophone. Les chercheurs estiment également que PivotC2 a probablement été créé avec l'assistance de l'IA, bien que les preuves étayant cette conclusion n'aient pas été divulguées. Le logiciel malveillant aurait fait son apparition dans des attaques depuis au moins juillet 2026.

Un dépassement de tas ouvre la porte sans authentification

La CVE-2025-25249 est un dépassement de tampon sur le tas pouvant être déclenché à distance sans authentification. Un attaquant envoie des paquets ou des requêtes spécialement conçus à un produit affecté, ce qui provoque l'écriture de données au-delà de la limite allouée d'un tampon sur le tas.

La vulnérabilité est associée aux catégories CWE-122 (dépassements de tampon sur le tas) et CWE-787 (écritures hors limites). Une exploitation réussie permet à l'attaquant d'exécuter du code ou des commandes non autorisés sur l'appliance ciblée.

Aucune interaction de l'utilisateur n'est requise. Le vecteur CVSS v3.1 du NVD est CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H, pour un score de base de 8,1. Ce vecteur traduit une accessibilité par le réseau, l'absence de privilèges requis, l'absence d'action de l'utilisateur et des impacts potentiellement graves sur la confidentialité, l'intégrité et la disponibilité. La complexité de l'attaque est évaluée comme élevée.

Une évaluation distincte citée par SecurityWeek attribue à cette faille un score CVSS de 7,4. La CISA ne fournit pas de score dans son entrée KEV. Cet écart de notation ne change rien au statut opérationnel : une exploitation active a été observée dans la nature.

Les rapports publics disponibles n'identifient ni le protocole précis, ni la structure des paquets, ni la séquence de corruption de mémoire utilisés par les attaquants. Ils ne décrivent pas non plus de prérequis au-delà de l'accès à un service vulnérable. Les organisations doivent donc éviter de fonder leurs décisions d'exposition sur un port ou une interface présumé qui n'a pas été confirmé.

FortiOS, FortiSwitchManager et FortiSASE sont concernés

La CISA identifie Fortinet FortiOS, FortiSwitchManager et FortiSASE comme produits affectés. Les versions vulnérables documentées sont les suivantes :

• FortiOS 7.6.0 through 7.6.3
• FortiOS 7.4.0 through 7.4.8
• FortiOS 7.2.0 through 7.2.11
• FortiOS 7.0.0 through 7.0.17
• FortiOS 6.4, toutes les versions selon une entrée du NVD
• FortiSwitchManager 7.2.0 through 7.2.6
• FortiSwitchManager 7.0.0 through 7.0.5
• FortiSASE 25.1.39

Les versions corrigées signalées sont FortiOS 7.6.4, 7.4.9, 7.2.12 et 7.0.18, ainsi que FortiSwitchManager 7.2.7 et 7.0.6. Les administrateurs doivent installer ces versions ou des versions supportées plus récentes.

Une incohérence non résolue subsiste autour de la branche FortiOS 6.4. Les données produit du NVD utilisent le seuil « FortiOS en dessous de 6.4.17 », ce qui suggère que 6.4.17 est la première version corrigée de cette branche. Cependant, la liste des correctifs signalée séparément n'inclut pas de version 6.4.x corrigée. Les organisations qui utilisent encore FortiOS 6.4 doivent vérifier le chemin de mise à niveau correct directement auprès de l'avis de Fortinet plutôt que de se fier uniquement à la liste des correctifs plus courte.

FortiSASE requiert également une attention particulière. La CISA et le NVD l'incluent parmi les produits affectés, mais aucune version corrigée de FortiSASE n'a été divulguée dans les rapports disponibles. Les clients doivent obtenir la mitigation ou la mise à jour de service applicable auprès de Fortinet.

La faille aurait été corrigée en janvier, mais l'année n'est pas précisée. Cette date manquante n'affecte ni l'exigence de réponse actuelle ni les preuves d'exploitation active.

PivotC2 transforme une passerelle compromise en point d'ancrage interne

PivotC2 est un RAT basé sur Node.js, décrit comme un outil de post-exploitation FortiGate. Une fois installé, il offre à un opérateur un accès shell interactif et des capacités conçues pour étendre le contrôle au-delà de l'appliance initialement compromise.

Les fonctionnalités signalées comprennent :

• Exécution interactive de commandes
• Tunneling de trafic
• Scan du réseau interne
• Collecte de la configuration des appareils

Ces capacités rendent une passerelle infectée particulièrement utile pour les mouvements latéraux. Le tunneling de trafic peut acheminer les communications de l'attaquant via l'appareil compromis, tandis que le scan réseau peut identifier les systèmes internes accessibles. La collecte de configuration peut exposer la topologie réseau, les paramètres d'administration ou d'autres informations utiles pour des opérations ultérieures.

Les infections confirmées représentent une petite partie des plus de 30 000 adresses IP ciblées, mais la campagne a tout de même produit 178 appareils compromis. Les deux cas d'exfiltration de données connus montrent que l'exploitation ne s'est pas arrêtée à la validation de la vulnérabilité ou à l'installation du logiciel malveillant.

L'ampleur réelle pourrait être plus large. Aucune information n'est disponible sur la manière dont les 178 infections ont été confirmées, sur la durée de présence des attaquants, ni sur la question de savoir si toutes les adresses ciblées représentaient des systèmes vulnérables et accessibles.

Le statut KEV crée une exigence forensique immédiate

L'inscription de la CVE-2025-25249 au catalogue KEV de la CISA établit qu'elle n'est pas seulement exploitable en théorie. Les agences fédérales doivent la corriger d'ici le 12 septembre 2026 conformément au BOD 26-04, tout en suivant les exigences de triage forensique de la CISA.

L'entrée KEV indique l'association à des campagnes de rançongiciels comme inconnue. Ce champ ne relie pas l'activité de PivotC2 au rançongiciel, mais ne l'exclut pas non plus.

La CISA demande aux organisations affectées d'appliquer les mitigations du fournisseur, d'évaluer l'exposition à Internet de chaque actif et de suivre les directives BOD 26-04 applicables aux services cloud. Si aucune mitigation n'est disponible, l'action requise est de cesser l'utilisation du produit affecté.

Bien que l'échéance contraignante s'applique aux agences fédérales américaines, les organisations privées sont confrontées au même scénario d'exploitation. Les appliances Fortinet exposées à Internet doivent recevoir la priorité la plus élevée, suivies des systèmes accessibles depuis des réseaux non fiables ou partenaires.

Corriger d'abord, puis enquêter sur une éventuelle compromission

Les administrateurs doivent immédiatement inventorier les déploiements FortiOS, FortiSwitchManager et FortiSASE, y compris les appliances qui n'apparaissent pas forcément dans les plateformes standard de gestion des terminaux. Chaque actif identifié doit être vérifié par rapport aux versions vulnérables et mis à niveau selon les instructions de Fortinet.

Les correctifs seuls ne peuvent pas garantir qu'un appareil précédemment exposé est sain. Les organisations doivent effectuer un triage forensique sur les systèmes qui étaient accessibles pendant qu'ils étaient vulnérables, en particulier lorsque des changements de configuration, des processus inexpliqués, une activité de tunneling ou un scan interne inhabituel sont observés.

Aucun hachage, domaine, adresse IP, chemin de fichier, nom de processus ou signature réseau pour PivotC2 n'a été divulgué. Aucune solution de contournement spécifique n'est non plus disponible actuellement. Le nom du logiciel malveillant et son comportement signalé constituent donc les seuls indices de détection publics.

Les défenseurs doivent préserver les journaux d'appareils pertinents avant la mise à niveau lorsque cela est opérationnellement possible, examiner l'historique d'administration et de configuration, et analyser la télémétrie réseau environnante à la recherche de connexions sortantes inattendues ou de scans provenant des appliances Fortinet. Toute indication d'accès shell, de collecte de configuration non autorisée ou de relais de trafic doit déclencher une réponse à incident plus large.

Lorsqu'une version corrigée supportée ne peut pas être installée, les organisations doivent appliquer la mitigation documentée par Fortinet. S'il n'en existe aucune, le retrait du produit du service est l'action prescrite par la CISA.