חוקרי Unit 42 של Palo Alto Networks תיעדו נוזקה בשם PEERSTITCH, שפעלה בזיכרון של מכשירי FortiOS ללא קובץ קבוע בדיסק. היא זוהתה בפריצה לספק שירותים מנוהלים בתחום התקשורת, וגם תיקון שכבר פורסם לא מספיק כדי להסיק שמכשיר נקי.
| מזהה | CVE-2025-61624 |
| מוצר | ממשק שורת הפקודה של FortiOS, וגם FortiPAM, FortiProxy, FortiSwitchManager; מספרי גרסאות לא פורסמו במקורות שנסקרו |
| חומרה | CVSS 5.4 (בינונית) |
| מנוצל בפועל | כן, לפי Unit 42 |
| תיקון | Fortinet תיקנה באפריל 2026 (ראה advisory FG-IR-26-122) |
מה קרה
הפגיעות היא Path Traversal בממשק הפקודה, שמאפשרת לתוקף בעל הרשאות לכתוב או למחוק קבצים. לפי Unit 42, כניסת התוקפים לרשת נעשתה דרך ניצול CVE-2024-47575 ("FortiJump") ב-FortiManager, והפעילות מיוחסת לגוף שמכונה CL-STA-0954 ומוגדר כשחקן מתקדם חשוד.
הנוזקה היא קובץ ARM64 שרץ בזיכרון בלבד, מזריק קוד לשני תהליכי FortiOS, ויוצר ביניהם ערוץ סמוי. הערוץ מסמן סשנים של VPN כך שיעקפו בדיקות אבטחה. החוקרים תיארו גם מעטפת הפוכה מבוססת SSH, התחזות ל-FortiManager כדי למשוך תצורות ממכשירים אחרים, ומחיקת לוגים.
נקודות לשים לב
- ודא שהמכשירים מעודכנים לגרסה שמתקנת את CVE-2025-61624 לפי ה-advisory של Fortinet, וכן את CVE-2024-47575 ב-FortiManager.
- נוזקה ללא קובץ בדיסק לא תיתפס בסריקת קבצים; עיין ב-IoC של Unit 42, ובהם שרת ההורדה 23.240.77[.]233:8085.
- הנוזקה מוחקת syslog ולוגי קריסה, ולכן היעדר ראיות אינו הוכחה לניקיון; שקול בדיקה פורנזית של מכשירים חשודים.
- הגבל גישת ניהול למכשירים וצמצם הרשאות מנהל, כי הניצול מחייב הרשאות.
- לא נכון להסיק שציון בינוני אומר סיכון נמוך: כאן הפגיעות שימשה כחלק משרשרת תקיפה.
מקורות: Unit 42 · Fortinet PSIRT · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
