Μέρες αφότου οι διαχειριστές άρχισαν να αναφέρουν ότι τα πλήρως ενημερωμένα firewalls τους έχουν παραβιαστεί, η Fortinet επιβεβαίωσε ότι εργάζεται για να αντιμετωπίσει πλήρως μια κρίσιμη ευπάθεια παράκαμψης αυθεντικοποίησης FortiCloud SSO που θα έπρεπε να είχε ήδη διορθωθεί από τις αρχές Δεκεμβρίου.
Δείτε επίσης: FortiGate: Αυτοματοποιημένες επιθέσεις αλλάζουν ρυθμίσεις firewall
Αυτό συμβαίνει μετά από ένα κύμα αναφορών από πελάτες της Fοrtinet σχετικά με κακόβουλους παράγοντες που εκμεταλλεύονται μια παράκαμψη της διόρθωσης για την ευπάθεια CVE-2025-59718 για να παραβιάσουν πλήρως ενημερωμένα firewalls.
Η εταιρεία κυβερνοασφάλειας Arctic Wolf δήλωσε την Τετάρτη ότι η εκστρατεία ξεκίνησε στις 15 Ιανουαρίου, με τους επιτιθέμενους να δημιουργούν λογαριασμούς με πρόσβαση VPN και να κλέβουν ρυθμίσεις firewalls μέσα σε δευτερόλεπτα, σε αυτό που φαίνεται να είναι αυτοματοποιημένες επιθέσεις. Πρόσθεσε επίσης ότι οι επιθέσεις είναι πολύ παρόμοιες με περιστατικά που κατέγραψε τον Δεκέμβριο, μετά την αποκάλυψη της κρίσιμης ευπάθειας CVE-2025-59718 στα προϊόντα της Fοrtinet.
Την Πέμπτη, η Fortinet επιβεβαίωσε τελικά αυτές τις αναφορές, δηλώνοντας ότι οι συνεχιζόμενες επιθέσεις CVE-2025-59718 ταιριάζουν με τη κακόβουλη δραστηριότητα του Δεκεμβρίου και ότι τώρα εργάζεται για να διορθώσει πλήρως το πρόβλημα.
Οι επηρεασμένοι πελάτες της Fοrtinet έχουν επίσης μοιραστεί αρχεία καταγραφής που δείχνουν ότι οι επιτιθέμενοι δημιούργησαν διαχειριστικούς χρήστες μετά από σύνδεση SSO από το cloud-init@mail.io στη διεύθυνση IP 104.28.244.114, που ταιριάζουν με δείκτες παραβίασης που εντοπίστηκαν από την Arctic Wolf κατά την ανάλυση των συνεχιζόμενων επιθέσεων FortiGate και της εκμετάλλευσης του Δεκεμβρίου, καθώς και με αυτούς που μοιράστηκε η Fοrtinet την Πέμπτη.
Δείτε ακόμα: FortiSIEM: Δημόσιος exploit code για κρίσιμη ευπάθεια
Μέχρι να αντιμετωπίσει πλήρως η Fοrtinet την ευπάθεια CVE-2025-59718, οι πελάτες συμβουλεύονται να περιορίσουν την πρόσβαση διαχείρισης στις συσκευές του δικτύου τους μέσω του Διαδικτύου εφαρμόζοντας μια πολιτική τοπικής εισόδου που περιορίζει τις διευθύνσεις IP που μπορούν να έχουν πρόσβαση στις διαχειριστικές διεπαφές των συσκευών.
Οι διαχειριστές θα πρέπει επίσης να απενεργοποιήσουν τη λειτουργία FortiCloud SSO στις συσκευές Fortinet τους πηγαίνοντας στο Σύστημα -> Ρυθμίσεις -> Διακόπτης και απενεργοποιώντας την επιλογή “Επιτρέψτε διαχειριστική σύνδεση χρησιμοποιώντας FortiCloud SSO“.
Οι πελάτες της Fοrtinet που εντοπίζουν οποιοδήποτε από τους δείκτες παραβίασης κατά τον έλεγχο των συσκευών τους για αποδεικτικά στοιχεία μετά την εκμετάλλευση συμβουλεύονται να ενημερώσουν “το σύστημα και τη διαμόρφωση ως παραβιασμένα“, να αλλάξουν τα διαπιστευτήρια (συμπεριλαμβανομένων των λογαριασμών LDAP/AD) και να αποκαταστήσουν τη διαμόρφωσή τους με μια γνωστή καθαρή έκδοση.
Δείτε επίσης: Η Fοrtinet διορθώνει κρίσιμη ευπάθεια στο FortiSIEM
Ο παρατηρητής ασφάλειας στο Διαδίκτυο Shadowserver παρακολουθεί τώρα σχεδόν 11.000 συσκευές Fortinet που είναι εκτεθειμένες στο διαδίκτυο και έχουν ενεργοποιημένο το FortiCloud SSO. Η CISA πρόσθεσε επίσης την CVE-2025-59718 στη λίστα των ενεργά εκμεταλλευόμενων ευπαθειών της στις 16 Δεκεμβρίου και διέταξε τις ομοσπονδιακές υπηρεσίες να διορθώσουν εντός μιας εβδομάδας.
