Kaj se je zgodilo
Po navedbah vira MKD-CIRT naj bi sumljiv napredni akter grožnje izkoriščal varnostno ranljivost v Fortinet FortiOS za dostavo doslej neprijavljene zlonamerne programske opreme, imenovane PEERSTITCH. Gre za zlonamerno kodo, ki deluje izključno v pomnilniku naprave in je namenjena arhitekturi ARM64. Napad naj bi po navedbah vira vključeval izkoriščanje ranljivosti CVE-2025-61624, ki je tipa path traversal v interpreterju ukazne vrstice (CLI) izdelkov FortiOS, FortiPAM in FortiProxy.
V NVD je ranljivost CVE-2025-61624 ocenjena s CVSS 3.1 6,5 (srednja stopnja resnosti), medtem ko vir MKD-CIRT navaja oceno CVSS 5,4. Zaradi tega neskladja je pri navajanju resnosti ranljivosti potrebna previdnost. EPSS vrednost za ranljivost znaša 0,5 % (podatek z dne 15. 10. 2026), kar kaže na razmeroma nizko verjetnost množičnega izkoriščanja v bližnji prihodnosti. Trenutno ni podatka, da bi bila ranljivost uvrščena na seznam KEV ali da bi obstajala javno dostopna koda za njeno izkoriščanje (PoC).
Kaj to pomeni za slovenska in evropska podjetja
Izdelki Fortinet, med njimi FortiOS, FortiPAM in FortiProxy, so razširjeni v omrežjih podjetij po vsej Evropi, tudi v Sloveniji, kjer se pogosto uporabljajo za vzpostavitev varnih VPN-povezav in oddaljenega dostopa. Ranljivost v interpreterju ukazne vrstice je še posebej pomembna, ker po navedbah vira omogoča zaobidenje preverjanja označenih VPN-sej, kar lahko napadalcu omogoči prikrit dostop do omrežja, ne da bi ta sprožil standardne varnostne mehanizme. Dejstvo, da zlonamerna koda PEERSTITCH deluje v pomnilniku, dodatno otežuje odkrivanje z običajnimi orodji za pregled datotečnega sistema.
Priporočeni ukrepi
Glede na naravo ranljivosti je smiselno preveriti, ali uporabljene različice FortiOS, FortiPAM ali FortiProxy ustrezajo tistim, ki jih omenja vir, in po potrebi namestiti varnostne posodobitve, ko so te na voljo. Priporočljivo je tudi pregledati dnevnike VPN-sej za nenavadne vzorce dostopa in preveriti delovanje interpreterja ukazne vrstice na izpostavljenih napravah. Ker gre za zlonamerno kodo, ki deluje v pomnilniku, je priporočljivo sodelovati z ekipami za odzivanje na incidente pri izvajanju forenzične analize, saj standardni pregledi datotečnega sistema morda ne zadostujejo za zaznavo okužbe.
Vprašanja in odgovori
Ali je ranljivost CVE-2025-61624 trenutno aktivno izkoriščana? Vir MKD-CIRT navaja, da naj bi sumljiv napredni akter grožnje izkoriščal to ranljivost, vendar podatek izhaja iz enega vira, zato ga je treba obravnavati previdno.
Kakšna je dejanska resnost ranljivosti? Viri si pri oceni CVSS niso enotni; NVD navaja 6,5, vir MKD-CIRT pa 5,4. EPSS vrednost je nizka (0,5 %), ranljivost pa ni uvrščena na seznam KEV.
Pogosta vprašanja
Kaj je PEERSTITCH?
Po navedbah vira MKD-CIRT je PEERSTITCH doslej neprijavljena zlonamerna programska oprema, ki deluje izključno v pomnilniku naprave in je prilagojena arhitekturi ARM64.
Katere izdelke prizadene CVE-2025-61624?
Po navedbah vira gre za ranljivost v interpreterju ukazne vrstice izdelkov FortiOS, FortiPAM in FortiProxy.
Ali obstaja javno dostopna koda za izkoriščanje te ranljivosti?
Med podanimi dejstvi ni podatka o javno dostopnem PoC niti o uvrstitvi na seznam KEV.
Sorodne objave
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- Napadalci z AI skripti ugrabljajo ukaz sudo na Linuxu in kradejo gesla
- BeyondTrust popravil zero-day ranljivost, izkoriščano že od avgusta