Un presunto attore sostenuto da uno Stato ha sfruttato due vulnerabilità di Fortinet per ottenere un accesso prolungato a un'organizzazione di telecomunicazioni non identificata, secondo i risultati di Palo Alto Networks riportati da SecurityWeek.
L'intrusione è avvenuta nel settembre 2024. Gli investigatori seguono l'attore come UNC5820, che Palo Alto Networks associa a CL-STA-0954. L'operazione è iniziata con la compromissione di un sistema FortiManager centrale ed è proseguita con la distribuzione di PeerStitch, un impianto in memoria che prende di mira le appliance FortiGate.
Durante l'attacco, l'intruso ha esfiltrato un archivio con informazioni sull'installazione di FortiManager, sulla rete della vittima e su oltre 500 firewall FortiGate gestiti. Quella cifra descrive i dispositivi presenti nei dati di configurazione sottratti, non 500 firewall confermati come compromessi.
Una delle falle sfruttate, CVE-2025-61624, è entrata nel catalogo KEV (Known Exploited Vulnerabilities) della Cybersecurity and Infrastructure Security Agency statunitense il 16 ottobre 2026. La scadenza per la bonifica delle agenzie civili federali statunitensi è il 19 ottobre 2026.
Da una compromissione di FortiManager al controllo dei firewall
Palo Alto Networks ha descritto il punto d'ingresso iniziale come CVE-2024-47575, noto anche come "FortiJump". La vulnerabilità critica di FortiManager non richiede autenticazione per una funzione sensibile, e consente ad attaccanti remoti di eseguire comandi o codice arbitrari tramite richieste appositamente costruite.
Dopo aver sfruttato il server di gestione, l'attore ha registrato su FortiManager un'appliance Virtual FortiGate non autorizzata. Questo gli ha fornito un percorso verso l'archivio di configurazione, che contiene i dettagli sui firewall gestiti centralmente e sull'ambiente di rete.
La NVD assegna a CVE-2024-47575 un punteggio CVSS di 9,8, con il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, e la classifica come CWE-306.
Le versioni interessate elencate nella descrizione NVD sono:
- FortiManager 7.6.0
- FortiManager da 7.4.0 a 7.4.4
- FortiManager da 7.2.0 a 7.2.7
- FortiManager da 7.0.0 a 7.0.12
- FortiManager da 6.4.0 a 6.4.14
- FortiManager da 6.2.0 a 6.2.12
- FortiManager Cloud da 7.4.1 a 7.4.4
- FortiManager Cloud da 7.2.1 a 7.2.7
- FortiManager Cloud da 7.0.1 a 7.0.12
- FortiManager Cloud da 6.4.1 a 6.4.7
Secondo i resoconti, Mandiant aveva osservato UNC5820 sfruttare la falla almeno da giugno 2024. Fortinet l'ha corretta nell'ottobre 2024, quando è stato riconosciuto che era già sfruttata come zero-day. CISA l'ha aggiunta al catalogo KEV il 23 ottobre 2024, con una scadenza federale per la bonifica fissata al 13 novembre 2024.
CVE-2025-61624 ha consegnato PeerStitch
La stessa intrusione ha coinvolto anche CVE-2025-61624, una vulnerabilità di path traversal che interessa FortiOS, FortiPAM, FortiProxy e FortiSwitchManager.
La NVD spiega che un attaccante autenticato con un profilo amministratore e almeno permessi di lettura e scrittura può usare comandi CLI specifici per scrivere o eliminare file arbitrari. Alla falla viene assegnato un punteggio CVSS di 6,0 e il vettore CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H.
Il punteggio riflette gli elevati privilegi richiesti nelle condizioni generali di attacco della vulnerabilità. Nell'intrusione nel settore delle telecomunicazioni descritta da Palo Alto Networks, però, l'attaccante aveva già compromesso l'ambiente di gestione. I ricercatori hanno riferito che UNC5820 ha usato la falla per ottenere l'accesso root al sistema FortiOS sottostante e per collocare uno script che ha avviato la distribuzione di PeerStitch.
Fortinet ha corretto CVE-2025-61624 ad aprile 2026 e, al momento della divulgazione, l'ha segnalata come sfruttata come zero-day. La descrizione NVD elenca queste versioni interessate:
- FortiOS da 7.6.0 a 7.6.4
- FortiOS da 7.4.0 a 7.4.9
- Tutte le versioni di FortiOS 7.2, 7.0 e 6.4
- FortiPAM 1.7.0 e tutte le versioni dei rami da 1.6 a 1.0
- FortiProxy da 7.6.0 a 7.6.4
- FortiProxy da 7.4.0 a 7.4.11
- Tutte le versioni di FortiProxy 7.2 e 7.0
- FortiSwitchManager da 7.2.0 a 7.2.7
- FortiSwitchManager da 7.0.0 a 7.0.6
Il riepilogo dei prodotti della NVD indica come soglie di versione rilevanti FortiOS 7.4.10, FortiPAM 1.7.1, FortiProxy 7.4.12 e FortiSwitchManager 7.0.7. Queste soglie non coprono tutti i rami interessati della descrizione NVD più completa, inclusi alcuni rilasci di FortiOS e FortiProxy 7.6 e diversi rami più vecchi.
PeerStitch si nasconde dentro processi legittimi dell'appliance
Palo Alto Networks ha descritto PeerStitch come un impianto ARM64 scritto in C. Invece di installare un eseguibile persistente convenzionale, funziona come un iniettore una tantum che modifica la memoria dei processi in esecuzione.
Secondo i resoconti, l'impianto prende di mira tre aree di FortiOS:
- il sistema di gestione centrale;
- il componente di registrazione del traffico;
- i daemon che supportano i servizi VPN IKE/IPsec.
Secondo i ricercatori, PeerStitch non apre una porta in ascolto né avvia una connessione in uscita autonoma. Fa invece passare i dati attraverso il traffico generato da processi legittimi dell'appliance, creando un canale di comunicazione occulto in memoria tra i suoi bersagli. Palo Alto Networks ha affermato che questo design aggira i controlli di sicurezza predefiniti di FortiOS e riduce le tracce su disco disponibili agli investigatori.
L'attore si è poi finto FortiManager nelle comunicazioni FGFM (FortiGate-to-FortiManager), consentendo l'invio di comandi da infrastrutture esterne. I ricercatori hanno inoltre riferito di ampi tentativi di rimuovere le tracce forensi.
Palo Alto Networks ha indicato due possibili modi per assumere l'identità di gestione. L'attore potrebbe aver interrotto la sessione legittima di FortiManager sfruttando CVE-2024-26008, oppure potrebbe essersi autenticato con segreti ottenuti dai dati di configurazione sottratti.
CVE-2024-26008 è una vulnerabilità del daemon FGFM che può permettere a un attaccante non autenticato di reimpostare ripetutamente una connessione tramite richieste TCP cifrate con SSL appositamente costruite. Il resoconto disponibile non stabilisce quale dei due metodi sia stato usato in questa intrusione.
Cosa dovrebbero fare gli amministratori Fortinet
Le agenzie civili federali statunitensi devono correggere CVE-2025-61624 entro il 19 ottobre 2026. CISA chiede alle agenzie di applicare le mitigazioni del fornitore, di conformarsi a BOD 26-04 Prioritizing Security Updates Based on Risk e di seguire i suoi Forensics Triage Requirements. Per i servizi cloud, le agenzie devono seguire le indicazioni applicabili della BOD 26-04 oppure interrompere l'uso del prodotto se le mitigazioni non sono disponibili.
Anche le altre organizzazioni che usano i prodotti interessati dovrebbero dare priorità alla falla, perché la sua inclusione nel catalogo KEV riflette uno sfruttamento osservato. Gli amministratori dovrebbero:
- aggiornare FortiOS 7.4 alla 7.4.10 o successiva, FortiPAM alla 1.7.1 o successiva, FortiProxy 7.4 alla 7.4.12 o successiva e FortiSwitchManager 7.0 alla 7.0.7 o successiva;
- applicare la release corretta o la mitigazione indicata dal fornitore per i rami interessati non coperti da quelle soglie;
- verificare che CVE-2024-47575 sia stata risolta su ogni istanza di FortiManager e FortiManager Cloud;
- controllare FortiManager alla ricerca di registrazioni non autorizzate di Virtual FortiGate;
- esaminare le sessioni FGFM inattese, in particolare il traffico di gestione che coinvolge infrastrutture esterne;
- sostituire le credenziali e i segreti di gestione nei casi in cui gli archivi di configurazione potrebbero essere stati esposti;
- includere nell'analisi forense di triage le prove della memoria volatile e del piano di gestione, invece di affidarsi solo ai file salvati su disco.
Per CVE-2024-47575, l'azione richiesta da CISA resta applicare le mitigazioni di Fortinet oppure interrompere l'uso del prodotto interessato se le mitigazioni non sono disponibili.
