Pelanggan Fortinet melihat penyerang mengeksploitasi bypass patch untuk kerentanan otentikasi FortiGate kritis yang telah diperbaiki sebelumnya (CVE-2025-59718) untuk meretas firewall yang telah dipatch.
Salah satu admin yang terkena dampak dikatakan bahwa Fortinet diduga telah mengkonfirmasi bahwa versi FortiOS terbaru (7.4.10) tidak sepenuhnya mengatasi kerentanan bypass otentikasi ini, yang seharusnya sudah diatasi. ditambal pada awal Desember dengan dirilisnya FortiOS 7.4.9.
Fortinet juga dilaporkan berencana untuk merilis FortiOS 7.4.11, 7.6.6, dan 8.0.0 dalam beberapa hari mendatang untuk sepenuhnya menambal kelemahan keamanan.
“Kami baru saja mendapatkan login SSO berbahaya di salah satu FortiGate kami yang berjalan pada 7.4.9 (FGT60F). Kami memiliki SIEM yang menangkap akun admin lokal yang sedang dibuat. Sekarang, saya telah melakukan sedikit riset, dan tampaknya persis seperti inilah tampilannya ketika seseorang masuk pada CVE-2025-59718. Namun kami telah menggunakan 7.4.9 sejak 30 Desember,” kata admin.
Log yang dibagikan pelanggan menunjukkan bahwa pengguna admin dibuat dari login SSO cloud-init@mail.io dari alamat IP 104.28.244.114. Log ini tampak mirip dengan eksploitasi CVE-2025-59718 sebelumnya yang dilihat oleh perusahaan keamanan siber Arctic Wolf pada bulan Desember 2025yang melaporkan bahwa penyerang secara aktif mengeksploitasi kerentanan melalui pesan SAML jahat untuk menyusupi akun admin.
“Kami mengamati aktivitas yang sama. Juga menjalankan 7.4.9. Login pengguna dan alamat IP yang sama. Membuat pengguna admin sistem baru bernama “helpdesk”. Kami memiliki tiket terbuka dengan dukungan. Pembaruan: Tim pengembang Fortinet telah mengonfirmasi bahwa kerentanan masih ada atau tidak diperbaiki di v7.4.10,” yang lain ditambahkan.
BleepingComputer menghubungi Fortinet beberapa kali minggu ini untuk menanyakan pertanyaan tentang laporan ini, namun perusahaan tersebut belum membalasnya.
Hingga Fortinet menyediakan rilis FortiOS yang telah dipatch sepenuhnya, admin disarankan untuk menonaktifkan sementara fitur login FortiCloud yang rentan (jika diaktifkan) untuk mengamankan sistem mereka dari serangan.
Untuk menonaktifkan login FortiCloud, Anda harus menavigasi ke Sistem -> Pengaturan dan alihkan “Izinkan login administratif menggunakan FortiCloud SSO” ke Nonaktif. Namun, Anda juga dapat menjalankan perintah berikut dari antarmuka baris perintah:
config system global set admin-forticloud-sso-login disable end
Untungnya, sebagai Fortinet menjelaskan dalam saran aslinya, fitur sistem masuk tunggal (SSO) FortiCloud yang ditargetkan dalam serangan tidak diaktifkan secara default ketika perangkat tidak terdaftar di FortiCare, sehingga akan mengurangi jumlah total perangkat yang rentan.
Namun, Shadowserver masih ditemukan lebih dari 25.000 perangkat Fortinet terekspos secara online dengan FortiCloud SSO diaktifkan pada pertengahan Desember. Saat ini, lebih dari setengahnya telah diamankan, dengan Shadowserver sekarang melacak jhanya lebih dari 11.000 yang masih dapat dijangkau melalui Internet.
CISA juga punya ditambahkan kesalahan bypass autentikasi FortiCloud SSO CVE-2025-59718 ke dalamnya daftar kerentanan yang dieksploitasi secara aktifmemerintahkan lembaga federal untuk menambalnya dalam waktu seminggu.
Peretas sekarang juga aktif mengeksploitasi kerentanan kritis Fortinet FortiSIEM dengan kode eksploitasi bukti konsep yang tersedia untuk umum yang memungkinkan mereka mendapatkan eksekusi kode dengan hak akses root pada perangkat yang belum dipatch.
Tolok Ukur Anggaran CISO 2026
Ini musim anggaran! Lebih dari 300 CISO dan pemimpin keamanan telah berbagi bagaimana mereka merencanakan, membelanjakan, dan membuat prioritas untuk tahun depan. Laporan ini mengumpulkan wawasan mereka, memungkinkan pembaca untuk membuat tolok ukur strategi, mengidentifikasi tren yang muncul, dan membandingkan prioritas mereka menjelang tahun 2026.
Pelajari bagaimana para pemimpin terkemuka mengubah investasi menjadi dampak yang terukur.
