Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) добави критична уязвимост във Fortinet, проследявана като CVE-2025-25249, към своя каталог с известни експлоатирани уязвимости (KEV), след като потвърди доказателства за активна експлоатация.

Проблемът засяга продуктите FortiOS, FortiSwitchManager и FortiSASE. Той може да позволи на атакуващите да изпълнят неоторизиран код или команди чрез изпращане на специално конфигурирани пакети.

CVE-2025-25249 е уязвимост от тип препълване на буфера в динамичната памет (heap-based buffer overflow). Препълване на динамичната памет възниква, когато дадено приложение запише повече данни в област от паметта, отколкото тя е проектирана да побере.

Това може да повреди съседна памет и потенциално да позволи на атакуващ да промени поведението на програмата, да предизвика срив на устройството или да изпълни зловреден код с привилегиите на засегнатата услуга. Проблемът е свързан с CWE-122 (heap-based buffer overflow) и CWE-787 (out-of-bounds write).

Устройствата за сигурност на Fortinet масово се внедряват по границите на корпоративните мрежи, което прави уязвимостите във FortiOS изключително значими.

Успешното компрометиране на достъпна през интернет защитна стена, платформа за сигурен достъп (SASE) или инструмент за управление на мрежата би могло да осигури на киберпрестъпниците входна точка за последващи действия по проникване.

Уязвимост от тип препълване на буфера във Fortinet се експлоатира активно

В зависимост от конфигурацията, авторите на заплахата могат да се опитат да откраднат идентификационни данни, да променят настройки, да осигурят трайно присъствие или да се придвижат по-дълбоко във вътрешните мрежи. CISA добави уязвимостта към каталога KEV на 9 септември 2026 г. и определи краен срок за отстраняването ѝ 12 септември 2026 г.

Федералните граждански изпълнителни агенции трябва да приложат предоставените от производителя мерки под формата на Binding Operational Directive 26-04, която подрежда по приоритет обновленията за сигурност според риска от експлоатация.

Агенцията също така изисква форензик анализ на засегнатите среди, което показва, че организациите трябва да разследват за възможно компрометиране, вместо да третират проблема като рутинно инсталиране на корекции за сигурност.

От CISA заявяват, че организациите трябва да следват насоките на Fortinet за ограничаване на риска и да оценят всяко засегнато устройство за излагане в интернет. Когато е включена облачна услуга, засегнатите страни трябва да следват приложимите насоки BOD 26-04 за облачни услуги.

Ако липсва решение за ограничаване на риска, CISA съветва организациите да спрат използването на засегнатия продукт. Екипите по сигурност трябва да идентифицират всички внедрявания на FortiOS, FortiSwitchManager и FortiSASE, като с приоритет са системите, достъпни от обществения интернет.

Администраторите трябва да инсталират съответните корекции за сигурност или мерки от Fortinet, да прегледат логовете за подозрителен трафик, съдържащ манипулирани пакети, и да проверят за неочаквани промени в конфигурацията, нови администраторски акаунти, VPN активност или изходящи връзки.

Въпреки че CISA потвърждава експлоатацията, към момента агенцията посочва използването на криптовируси (ransomware) като неизвестно. Организациите въпреки това трябва да третират уязвимостта като активен риск от проникване и да извършат анализ за реакция при инциденти след отстраняване на уязвимостта.