Fortinet : une faille corrigée en avril a servi à cacher un implant au cœur des pare-feu FortiGate

Fortinet la jugeait de gravité « moyenne ». Notée 6 sur 10, la faille CVE-2025-61624 exige un compte administrateur pour être exploitée. Elle a pourtant permis de déposer un implant presque invisible au cœur de pare-feu FortiGate.

Le 16 octobre 2026, l'agence américaine de cybersécurité (CISA) l'a ajoutée à son catalogue des vulnérabilités exploitées (KEV). Fortinet l'avait corrigée dès le 14 avril, dans son avis FG-IR-26-122, et l'y indique comme exploitée. Il s'agit d'une traversée de répertoire dans l'interface en ligne de commande de FortiOS, FortiProxy, FortiPAM et FortiSwitchManager. D'après Fortinet, un attaquant disposant de droits élevés pourrait l'utiliser pour écrire ou supprimer n'importe quel fichier.

Les versions à installer

• FortiOS : 7.6.5 ou plus récent, 7.4.10 ou plus récent. Les branches 7.2, 7.0 et 6.4 ne seront pas corrigées : il faut passer à une branche maintenue.
• FortiProxy : 7.6.5 ou 7.4.12 et plus récent. Les branches 7.2 et 7.0 doivent être abandonnées.
• FortiPAM : 1.7.1 et plus récent. La branche 1.8 n'est pas touchée.
• FortiSwitchManager : 7.2.8 ou 7.0.7 et plus récent.

En attendant la mise à jour, Fortinet propose un correctif virtuel (« FG-VD-59270.0day ») dans la mise à jour 25.120 de sa base FMWP.

Comment une petite faille ouvre la porte du système

Le 14 octobre, les chercheurs d'Unit 42, l'équipe de renseignement de Palo Alto Networks (un concurrent de Fortinet), ont raconté son utilisation. Selon eux, la victime est un prestataire de services informatiques du secteur des télécoms, dont l'intrusion remonterait à septembre 2024.

Les attaquants seraient d'abord entrés par une ancienne faille de FortiManager, la console qui administre des parcs de pare-feu (CVE-2024-47575). Ils y auraient récupéré configurations, certificats et mots de passe chiffrés de manière réversible. Avec ces identifiants, ils auraient ouvert des sessions VPN SSL sur les pare-feu, puis, selon Unit 42 (avec une confiance moyenne), envoyé leurs commandes en se faisant passer pour la console d'administration.

C'est là qu'intervient CVE-2025-61624. Le nom d'un script automatique n'était pas filtré : y glisser une séquence ../ permettait de placer un fichier hors de son répertoire, avec les droits root. Les attaquants y ont déposé PEERSTITCH, un implant qui s'injecte dans la mémoire de deux services de FortiOS, ne laisse aucun binaire persistant sur le disque et n'ouvre aucun port. D'après Unit 42, il permet à certaines connexions VPN marquées d'échapper à des contrôles de sécurité. Les configurations de plus de 500 pare-feu, protégeant le prestataire et ses clients, auraient été dérobées ; Unit 42 précise ne pas avoir examiné les réseaux de ces clients.

Que vérifier sur vos FortiGate ?

Pas d'attaque spectaculaire ici : des identifiants volés, puis une faille « moyenne » pour devenir root. Corriger ne suffit donc pas si la console d'administration a pu être compromise. Unit 42 recommande de :

• chercher dans l'historique des configurations des scripts automatiques dont le nom contient ../ ;
• surveiller les plantages (signal 11) des services miglogd, iked ou syslogd dans les journaux ;
• changer les mots de passe et renouveler les certificats stockés dans FortiManager si celui-ci a été exposé ;
• isoler au maximum les interfaces d'administration.

Unit 42 publie aussi une règle de détection YARA dans son rapport. Comme pour la faille PAN-OS révélée le 15 octobre, l'obligation d'avoir un compte administrateur ne protège plus grand-chose quand ces comptes sont déjà entre de mauvaises mains. L'auteur de la campagne, lui, n'a pas été formellement identifié.