FortiOS : une faille « moyenne » exploitée par le malware PEERSTITCH

Une vulnérabilité notée « moyenne » n'est pas une vulnérabilité sans danger. CVE-2025-61624, corrigée par Fortinet en avril, vient d'être ajoutée le 16 octobre au catalogue des vulnérabilités activement exploitées de la CISA, l'agence américaine de cybersécurité. Elle a servi à installer sur des pare-feu FortiGate un logiciel malveillant discret, baptisé PEERSTITCH.

Si votre organisation utilise des équipements Fortinet, voici ce qu'il faut savoir.

La faille

Il s'agit d'une traversée de répertoire dans l'interface en ligne de commande de FortiOS. Un attaquant qui dispose déjà d'un accès privilégié peut, avec des arguments spécialement construits passés à des commandes existantes, écrire ou supprimer des fichiers arbitraires sur l'équipement.

Fortinet lui attribue un score CVSS v3 de 6,0. Ce score modéré s'explique par une condition forte : il faut déjà être administrateur. Mais c'est précisément le scénario d'un attaquant qui a obtenu un premier accès par une autre faille et cherche à s'installer durablement.

Les produits et versions concernés

Selon l'avis Fortinet FG-IR-26-122 :

• FortiOS 7.6.0 à 7.6.4 (corrigé en 7.6.5) et 7.4.0 à 7.4.9 (corrigé en 7.4.10) ; les branches 7.2, 7.0 et 6.4 sont touchées dans toutes leurs versions et doivent migrer vers une version corrigée
• FortiProxy 7.6.0 à 7.6.4 (corrigé en 7.6.5) et 7.4.0 à 7.4.11 (corrigé en 7.4.12) ; branches 7.2 et 7.0 à migrer
• FortiPAM 1.7.0 (corrigé en 1.7.1) ; versions 1.0 à 1.6 à migrer
• FortiSwitchManager 7.2.0 à 7.2.7 (corrigé en 7.2.8) et 7.0.0 à 7.0.6 (corrigé en 7.0.7)

Ce que fait PEERSTITCH

Les chercheurs de l'unité 42 de Palo Alto Networks ont découvert ce malware lors d'une intrusion prolongée visant un fournisseur de services managés dans les télécommunications. Selon leur analyse, relayée par The Hacker News :

• il réside uniquement en mémoire et ne laisse pas de binaire persistant sur le disque
• il n'ouvre aucun port d'écoute et n'initie aucune connexion sortante propre : il se fond dans le trafic de processus légitimes
• il s'injecte dans deux processus de FortiOS, liés à la journalisation et aux VPN IPsec
• les sessions VPN « marquées » par l'attaquant empruntent ensuite un chemin qui contourne les contrôles de sécurité habituels

Dans cette campagne, l'accès initial venait d'une autre vulnérabilité, dans FortiManager (CVE-2024-47575, dite FortiJump). Les attaquants auraient ensuite exfiltré des données concernant plus de 500 pare-feu gérés.

Ce qu'il faut vérifier

1. La version de chaque équipement. Comparez-la au tableau de l'avis FG-IR-26-122 et planifiez la mise à jour. Les branches qui ne reçoivent plus de correctif doivent être migrées.
2. Les accès d'administration. Les interfaces d'administration ne devraient jamais être exposées sur Internet. Revoyez la liste des comptes administrateurs et supprimez ceux qui ne sont pas justifiés.
3. Les sessions VPN inattendues. Recherchez dans les journaux des sessions SSL VPN ou IPsec inhabituelles, en particulier en dehors des horaires attendus.
4. La console de gestion. Si vous utilisez FortiManager, vérifiez qu'il est à jour : dans ce scénario, c'est lui qui a ouvert la porte. Un FortiManager compromis expose les configurations, les identifiants et les certificats des équipements gérés : dans ce cas, renouvelez-les.

Notre regard

Les équipements de bordure (pare-feu, passerelles VPN, consoles de gestion) sont devenus une cible prioritaire. Ils sont exposés par nature, rarement couverts par un EDR, et un malware résident en mémoire comme PEERSTITCH y échappe aux contrôles classiques. Se fier au seul score CVSS pour prioriser les correctifs conduit à laisser de côté des failles moyennes qui servent, en pratique, à verrouiller une compromission.

Vous voulez faire auditer vos équipements de bordure ou vérifier qu'ils n'ont pas été compromis ? Parlons-en.