A CISA incluiu a CVE-2025-61624 no catálogo de vulnerabilidades exploradas ativamente, chamando atenção para uma falha de path traversal em produtos Fortinet. O problema permite que um atacante com privilégios elevados use argumentos especialmente construídos na interface de linha de comando para escrever ou apagar arquivos arbitrários.
A vulnerabilidade é diferente de uma falha de acesso anônimo à interface de administração: o aviso técnico da Fortinet classifica o ataque como autenticado e exige privilégio alto. Ainda assim, a presença no catálogo KEV indica que a falha está sendo explorada e que administradores devem tratar a atualização como prioridade.
O que é a CVE-2025-61624
A falha, identificada pela Fortinet como FG-IR-26-122, está no interpretador de comandos de produtos como FortiOS, FortiPAM, FortiProxy e FortiSwitchManager. O problema é uma limitação inadequada do caminho de arquivo, conhecida como path traversal e associada ao CWE-22.
Com argumentos especialmente criados para comandos existentes, um atacante privilegiado pode alcançar caminhos fora do diretório permitido e realizar operações arbitrárias de escrita ou exclusão. Esse tipo de capacidade pode ser usado para alterar configurações, apagar evidências, modificar arquivos de serviço ou preparar uma etapa posterior do ataque.
A Fortinet classifica a vulnerabilidade com CVSSv3 6,0 e impacto de escalada de privilégio. A CISA, por sua vez, adicionou a CVE ao KEV com base em evidência de exploração ativa. As duas informações não são contraditórias: a pontuação mede o cenário técnico descrito pelo fornecedor, enquanto a inclusão no KEV indica que atores reais já estão usando a falha.
Produtos e versões afetados
O aviso da Fortinet lista os seguintes produtos e correções:
- FortiOS 7.6: versões 7.6.0 a 7.6.4; atualizar para 7.6.5 ou superior.
- FortiOS 7.4: versões 7.4.0 a 7.4.9; atualizar para 7.4.10 ou superior.
- FortiOS 7.2, 7.0 e 6.4: todas as versões; migrar para uma versão corrigida pelo caminho recomendado.
- FortiPAM 1.7: versão 1.7.0; atualizar para 1.7.1 ou superior.
- FortiPAM 1.8: não afetado.
- FortiProxy 7.6: versões 7.6.0 a 7.6.4; atualizar para 7.6.5 ou superior.
- FortiProxy 7.4: versões 7.4.0 a 7.4.11; atualizar para 7.4.12 ou superior.
- FortiProxy 7.2, 7.0 e 6.4: todas as versões; migrar para uma versão corrigida.
- FortiSwitchManager 7.2: versões 7.2.0 a 7.2.7; atualizar para 7.2.8 ou superior.
- FortiSwitchManager 7.0: versões 7.0.0 a 7.0.6; atualizar para 7.0.7 ou superior.
Como os caminhos de atualização variam por produto e linha, a Fortinet recomenda usar sua ferramenta oficial de upgrade. Administradores não devem escolher uma versão apenas pelo número mais alto: é preciso respeitar a sequência de atualização suportada pelo equipamento.
Por que a inclusão no catálogo KEV importa
O catálogo Known Exploited Vulnerabilities da CISA reúne falhas para as quais existe evidência de exploração real. A CISA recomenda que todas as organizações usem o catálogo para priorizar correções baseadas em risco, mesmo que as obrigações formais do catálogo sejam direcionadas ao governo federal dos Estados Unidos.
Para a CVE-2025-61624, a mensagem prática é clara: não basta verificar se a interface de administração não está aberta na internet. É necessário descobrir quais contas possuem privilégios altos, de onde elas podem acessar os equipamentos e se algum atacante pode ter obtido credenciais ou sessões administrativas.
O que os administradores devem fazer
1. Inventarie os equipamentos. Liste FortiGate com FortiOS, FortiProxy, FortiPAM e FortiSwitchManager, incluindo appliances de contingência, laboratório e filiais. Registre produto, versão, endereço, exposição, administradores e integrações.
2. Compare as versões com o aviso FG-IR-26-122. Use a tabela do fabricante para identificar os ativos afetados. Depois, planeje a atualização de acordo com a ferramenta de upgrade da Fortinet e confirme a versão depois da reinicialização ou conclusão da manutenção.
3. Restrinja a administração. Permita acesso administrativo somente a redes confiáveis e contas necessárias. Use MFA, se disponível, separe contas administrativas de contas comuns e remova usuários que não precisam mais de privilégio elevado.
4. Aplique a correção, não apenas o virtual patch. A Fortinet informa a existência de um virtual patch em uma atualização de banco do FMWP. Esse mecanismo pode reduzir a exposição em determinados cenários, mas a atualização do produto continua sendo a medida principal e deve ser aplicada assim que possível.
5. Revise os logs de administração. Procure logins privilegiados não reconhecidos, uso de comandos incomuns, alterações de configuração fora da janela de mudança, arquivos criados ou removidos e lacunas nos registros. Compare acessos com os endereços e horários esperados.
Como investigar possível comprometimento
Se um equipamento afetado estava acessível a contas privilegiadas potencialmente comprometidas, preserve os logs antes de reiniciar ou reconstruir o appliance. Revise sessões administrativas, alterações de contas, regras de firewall, rotas, túneis VPN, objetos de autenticação e integrações com diretórios.
Faça a rotação de senhas, chaves, tokens e certificados que possam ter sido acessados por administradores ou serviços comprometidos. Se a investigação indicar alteração de arquivos ou persistência, isole o equipamento, preserve uma imagem ou snapshot quando possível e reconstrua a partir de uma origem conhecida.
A exploração ativa também justifica uma busca retrospectiva. Verifique os períodos anteriores à aplicação do patch e não limite a análise aos últimos eventos. Um invasor pode ter alterado registros, removido arquivos ou criado uma forma de acesso que sobreviva à atualização.
Conclusão
A CVE-2025-61624 exige uma resposta proporcional ao risco real. Tecnicamente, a exploração descrita pela Fortinet requer autenticação e privilégios elevados, mas a CISA confirmou uso ativo e incluiu a falha no catálogo KEV. Isso transforma uma vulnerabilidade de administração em uma prioridade de defesa e investigação.
Organizações que usam FortiOS, FortiProxy, FortiPAM ou FortiSwitchManager devem inventariar as versões, atualizar pelo caminho recomendado, reforçar o acesso administrativo e revisar sinais de abuso. A correção deve ser acompanhada de rotação de credenciais e verificação dos logs quando houver qualquer possibilidade de comprometimento.
Fontes primárias
Fortinet PSIRT: FG-IR-26-122 — Path Traversal in CLI.
CISA: CISA Adds Two Known Exploited Vulnerabilities to Catalog.
CVE.org: CVE-2025-61624.