Fortinet mengonfirmasi patch diam untuk zero-day FortiWeb yang dieksploitasi dalam serangan

Fortinet telah mengkonfirmasi bahwa mereka secara diam-diam telah menambal kerentanan kritis zero-day di firewall aplikasi web FortiWeb, yang sekarang “dieksploitasi secara besar-besaran di alam liar.”

Pengumuman berikut laporan penyerang yang tidak diautentikasi mengeksploitasi kelemahan traversal jalur FortiWeb yang tidak diketahui untuk membuat pengguna administratif baru pada perangkat yang terekspos Internet.

Serangan tersebut pertama kali diidentifikasi oleh perusahaan intel ancaman Defused pada tanggal 6 Oktober, yang menerbitkan bukti konsep eksploitasi dan dilaporkan bahwa “eksploitasi Fortinet yang tidak diketahui (mungkin varian CVE-2022-40684)” digunakan untuk mengirim permintaan HTTP POST ke /api/v2.0/cmdb/system/admin%3f/../../../../../cgi-bin/fwbcgi titik akhir Fortinet untuk membuat akun tingkat admin lokal.

Pada hari Kamis, peneliti keamanan watchTowr Labs juga mendemonstrasikan eksploitasi dan merilis alat yang disebut “Generator Artefak Bypass Otentikasi FortiWeb untuk membantu pembela HAM mengidentifikasi perangkat yang rentan.

Perusahaan keamanan siber Rapid7 ditambahkan bahwa kelemahan tersebut memengaruhi FortiWeb versi 8.0.1 dan sebelumnya, karena cacat tersebut mengonfirmasi bahwa eksploitasi bukti konsep yang tersedia untuk umum tidak lagi berfungsi setelah diperbarui ke versi 8.0.2.

Saat ini, Fortinet mengungkapkan bahwa penyerang secara aktif mengeksploitasi kerentanan kebingungan jalur (sekarang dilacak sebagai CVE-2025-64446) dalam komponen GUI FortiWeb, yang memungkinkan penyerang yang tidak diautentikasi untuk menjalankan perintah administratif pada sistem yang belum ditambal melalui permintaan HTTP atau HTTPS yang dibuat.

“Fortinet telah mengamati hal ini untuk dieksploitasi di alam liar,” kata perusahaan itu dalam a Penasihat keamanan hari Jumatyang mengonfirmasi bahwa zero-day telah ditambal secara diam-diam di FortiWeb 8.0.2, dirilis pada 28 Oktober, tiga minggu setelah laporan pertama Defused bahwa kelemahan keamanan CVE-2025-64446 dieksploitasi dalam serangan.

Badan-badan federal memerintahkan untuk menambalnya dalam waktu seminggu

CISA juga menambahkan cacat traversal jalur CVE-2025-64446 ke katalog kerentanan yang dieksploitasi secara aktif pada hari Jumat, memerintahkan lembaga-lembaga federal AS untuk melakukannya menambal sistem mereka paling lambat tanggal 21 November.

“Jenis kerentanan ini sering menjadi vektor serangan bagi pelaku siber jahat dan menimbulkan risiko signifikan bagi perusahaan federal,” badan keamanan siber memperingatkan.

Admin yang tidak dapat segera meningkatkan ke FortiWeb 8.0.2 harus menonaktifkan HTTP atau HTTPS untuk semua antarmuka manajemen yang terhubung ke internet dan memastikan bahwa akses dibatasi pada jaringan tepercaya.

Fortinet juga menyarankan pelanggan untuk memeriksa konfigurasi mereka dan meninjau log untuk akun administrator baru yang tidak sah dan modifikasi tak terduga lainnya.

BleepingComputer menghubungi Fortinet dengan pertanyaan tentang serangan yang sedang berlangsung ini, namun kami belum menerima tanggapan.

Pada bulan Agustus, Fortinet menambal kelemahan injeksi perintah kritis (CVE-2025-25256) dengan kode eksploitasi yang tersedia untuk umum dalam solusi pemantauan keamanan FortiSIEM, satu hari setelah perusahaan keamanan siber GreyNoise memperingatkan tentang a lonjakan besar-besaran serangan brute force yang menargetkan VPN SSL Fortinet.