Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała CVE-2025-59718 do swojego katalogu znanych wykorzystywanych luk (Known Exploited Vulnerabilities, KEV), potwierdzając, że jest ona aktywnie wykorzystywana w atakach.
Luka jest jedną z dwóch krytycznych luk umożliwiających obejście uwierzytelniania, ujawnionych przez Fortinet 9 grudnia, i dotyczy:
- FortiOS
- FortiWeb
- FortiProxy
- FortiSwitchManager
Jakie jest ryzyko?
Zarówno CVE-2025-59718, jak i CVE-2025-59719 (CVSS 9,1) pozwalają nieuwierzytelnionym atakującym obejść uwierzytelnianie SSO za pomocą specjalnie spreparowanych komunikatów SAML, gdy włączone jest FortiCloud SSO.
Skuteczne wykorzystanie luk może dać atakującym:
- Dostęp administratora
- Kontrolę nad politykami zapory sieciowej
- Wgląd w topologię sieci
- Dostęp do zahaszowanych poświadczeń i konfiguracji
Zaobserwowane aktywne wykorzystanie
Według Arctic Wolf ataki rozpoczęły się w ciągu kilku dni od ujawnienia luk i obejmowały:
- Złośliwe logowania SSO wymierzone w konta administratorów
- Eksporty konfiguracji na adresy IP kontrolowane przez atakujących
- Infrastrukturę powiązaną z dostawcami hostingu w Niemczech, USA i Azji
Dlaczego ekspozycja jest większa, niż oczekiwano
Choć FortiCloud SSO jest domyślnie wyłączone, włącza się automatycznie podczas rejestracji urządzenia przez FortiCare, o ile nie zostanie jawnie wyłączone — to rozwiązanie projektowe mogło narazić więcej urządzeń, niż zdawały sobie sprawę organizacje.
Aktorzy zagrożeń regularnie skanują sieć w poszukiwaniu interfejsów zarządzania zaporami dostępnych z internetu, co czyni te urządzenia cennymi celami.
Naprawa i ograniczanie ryzyka
✔ Zainstaluj poprawki natychmiast:
- FortiOS 7.6.4, 7.4.9, 7.2.12, 7.0.18 lub nowszy
- Odpowiednie wersje z poprawkami dla FortiWeb, FortiProxy, FortiSwitchManager
✔ Jeśli instalacja poprawek jest opóźniona:
- Wyłącz FortiCloud SSO
- Ogranicz dostęp administracyjny przez HTTP/HTTPS do zaufanych adresów IP
- Monitoruj wskaźniki IoC (nowe konta administratorów, podejrzana aktywność SSO)
⚠️ Agencje federalne muszą usunąć lukę do 23 grudnia lub zaprzestać korzystania z urządzeń.
Najważniejszy wniosek
Urządzenia Fortinet znajdują się na obrzeżach sieci. Pojedyncze przejęcie może umożliwić:
- Utworzenie nieautoryzowanego konta administratora
- Dostęp VPN do ruchu bocznego (lateral movement)
- Trwałe przyszłe ataki z wykorzystaniem wykradzionych konfiguracji
Organizacje powinny zakładać przejęcie poświadczeń, jeśli wykryją podejrzaną aktywność, i działać natychmiast.
