CISA dodaje lukę Fortinet do katalogu aktywnie wykorzystywanych podatności

CISA dodała 16 października CVE-2025-61624 do katalogu podatności wykorzystywanych w rzeczywistych atakach. Wpis dotyczy produktów Fortinet: FortiOS, FortiPAM, FortiProxy i FortiSwitchManager. Nową informacją jest umieszczenie luki w katalogu KEV — sama podatność została opublikowana w kwietniu. Rekord odzwierciedlający wpis CISA został utworzony w serwisie luksemburskiego CIRCL 16 października o 18:00 UTC, czyli o 20:00 w Polsce.

Co oznacza ostrzeżenie

Podatność polega na niewłaściwym ograniczeniu ścieżek dostępu do plików. Jej wykorzystanie wymaga uwierzytelnienia, profilu administratora i co najmniej uprawnień do odczytu oraz zapisu. Specjalnie dobrane polecenia interfejsu administracyjnego mogą pozwolić na zapisanie lub usunięcie dowolnych plików.

To istotne rozróżnienie dla oceny ryzyka: opis nie wskazuje na możliwość przejęcia urządzenia przez dowolną osobę bez logowania. Administratorzy powinni jednak uwzględnić scenariusz nadużycia już zdobytego konta. Wpis CISA nie podaje liczby poszkodowanych organizacji, a wykorzystanie w kampaniach ransomware oznaczono jako nieustalone.

Kogo dotyczy problem

Lista obejmuje kilka rodzin produktów i wiele gałęzi oprogramowania. Weryfikacja powinna zatem objąć pełny wykaz urządzeń oraz ich wersji, także systemy służące do zarządzania dostępem i pośredniczenia w ruchu sieciowym. Samo sprawdzenie głównej zapory nie wystarczy.

CISA wskazała 19 października jako termin działania dla objętych obowiązkiem amerykańskich instytucji federalnych. Nie jest to automatycznie termin prawny dla polskich przedsiębiorstw, ale dodanie do KEV stanowi praktyczny sygnał do podniesienia priorytetu prac.

Co zrobić teraz

Poniższe kroki to zalecenia operacyjne dla administratorów:

• Porównaj wersje wszystkich wymienionych produktów z komunikatem producenta FG-IR-26-122 i wybierz właściwą ścieżkę aktualizacji.
• Sprawdź konta administracyjne, zakres ich uprawnień i dostępność interfejsów zarządzania z internetu.
• Zachowaj dzienniki, a następnie przeanalizuj nietypowe logowania administratorów i nieuzasadnione zmiany konfiguracji.
• Przy podejrzeniu włamania przeprowadź analizę incydentu; instalacja poprawki nie wyjaśnia wcześniejszej aktywności na urządzeniu.

Komentarz SecurHUB

Podatności wymagające uprawnień administratora również zasługują na pilną ocenę, gdy pojawia się potwierdzenie ich wykorzystywania. W ramach audytów bezpieczeństwa warto sprawdzać jednocześnie aktualność urządzeń, uprawnienia kont i możliwość odtworzenia działań administracyjnych.

Źródła: CIRCL — wpis katalogu CISA, DeSpy — potwierdzenie dodania do KEV, CVE Program — opis producenta