Sió-Informatika Rendszerház

Támadók egy korábban már nyilvánosságra hozott Fortinet sérülékenységet használnak ki FortiGate eszközök kompromittálására, majd egy újonnan azonosított post-exploitation keretrendszer, a PivotC2 telepítésére.

A támadások középpontjában a CVE-2025-25249 áll, amely a FortiOS, FortiSwitchManager és egyes FortiSASE verziókat érintő heap-based buffer overflow sérülékenység.

A hiba sikeres kihasználása lehetővé teheti, hogy egy hitelesítés nélküli távoli támadó speciálisan kialakított hálózati csomagokkal tetszőleges kódot vagy parancsokat hajtson végre a sérülékeny eszközön.

A Fortinet már 2026 januárjában kiadta a javítást, de a SOCRadar Threat Research Unit most nagy bizonyossággal valós támadásokhoz kapcsolta a sérülékenységet.

PivotC2: a tűzfalból támadói platform lesz

A PivotC2 nem egyszerűen egy hagyományos RAT, amely egy felhasználói munkaállomáson fut.

A kutatók szerint egy Node.js alapú post-exploitation és command-and-control keretrendszerről van szó, amelyet kifejezetten kompromittált FortiGate rendszerek kihasználására terveztek.

Ez azért különösen veszélyes, mert a tűzfal:

• folyamatosan internetkapcsolattal rendelkezik;
• központi helyen áll a hálózatban;
• látja a külső és belső forgalmat;
• gyakran VPN-kapcsolatokat kezel;
• közvetlen hozzáférése lehet több belső hálózati szegmenshez.

Egy kompromittált FortiGate így akár:

• rejtett C2 relayként;
• laterális mozgás kiindulópontjaként;
• credential gyűjtési platformként;
• perzisztens hozzáférési pontként

is használható.

👉 A tűzfal ebben az esetben már nem védelmi eszköz, hanem a támadási infrastruktúra része lesz.

Mi az a CVE-2025-25249?

A sérülékenység a Fortinet cw_acd daemon komponensét érinti, amely a CAPWAP protokollhoz kapcsolódik.

A CAPWAP – Control and Provisioning of Wireless Access Points – vezeték nélküli hozzáférési pontok menedzsmentjére használható.

A hiba típusa:

heap-based buffer overflow

Ez akkor történik, amikor egy program több adatot ír egy lefoglalt memóriaterületre, mint amennyit az képes biztonságosan kezelni.

A túlcsorduló adat:

• más memóriaterületeket írhat felül;
• megváltoztathatja a folyamat működését;
• process crash-t okozhat;
• megfelelő exploit esetén kódfuttatáshoz vezethet.

A CVE-2025-25249 esetében:

👉 nincs szükség hitelesítésre
👉 nincs szükség felhasználói interakcióra
👉 hálózaton keresztül támadható

Ez jelentősen növeli a kockázatot.

A sérülékenység nem új – az exploitation igen

A Fortinet Product Security csapata 2026. január 13-án publikálta a hibát.

Akkor még:

• nem volt ismert aktív kihasználás;
• nem volt publikus PoC;
• a probléma elsősorban patch-management kérdés volt.

A PivotC2 kampány azonban megváltoztatja a helyzetet.

👉 Ha a SOCRadar megállapítása helyes, akkor a CVE-2025-25249 már valódi intrusion chain része.

Ez azt jelenti, hogy az érintett szervezeteknek már nemcsak azt kell megkérdezniük:

„Frissítettük-e a FortiGate-et?”

hanem azt is:

„Kompromittálták-e még a frissítés előtt?”

Miért veszélyesebb egy feltört tűzfal, mint egy átlagos endpoint?

A FortiGate közvetlenül a vállalati hálózat egyik legfontosabb bizalmi pontja.

Egy támadó, aki megszerzi az irányítást, potenciálisan:

• feltérképezheti a belső hálózatot;
• figyelheti a forgalmat;
• megváltoztathatja a firewall policy-ket;
• módosíthatja a routingot;
• manipulálhatja a DNS-t;
• VPN hozzáféréseket szerezhet;
• új adminisztrátori fiókot hozhat létre;
• elrejtheti a C2 kommunikációt;
• hátsó ajtót építhet ki.

Ráadásul a hálózati appliance-eken általában nincs hagyományos EDR agent.

Ezért sok szervezet kevesebb telemetriával rendelkezik arról, hogy pontosan mi történik a tűzfalon.

A Node.js használata is figyelemre méltó

A PivotC2 Node.js használata szokatlan, de logikus választás lehet.

A JavaScript runtime előnyei:

• aszinkron hálózati kommunikáció;
• könnyen építhető moduláris architektúra;
• gyors fejlesztés;
• rugalmas C2 kommunikáció.

Ez egyben megnehezítheti azoknak a SOC-oknak a dolgát, amelyek elsősorban natív Linux binárisokra vagy klasszikus malware mintákra építik a hálózati appliance-ek monitoringját.

A SOCRadar megállapítása még nem hivatalos Fortinet megerősítés

Fontos különbséget tenni.

A SOCRadar szerint a kampány és a CVE-2025-25249 között high-confidence kapcsolat van.

Ugyanakkor a publikáció idején:

• a Fortinet nem nevezte meg hivatalosan a PivotC2-t;
• nem erősítette meg nyilvánosan ugyanezt a támadási kampányt;
• kormányzati CERT sem publikált külön megerősítést.

Ezért az attribúciót jelenleg kutatói értékelésként érdemes kezelni.

A kockázatot azonban nem érdemes alábecsülni, mert maga a sérülékenység és annak távoli kódfuttatási lehetősége már dokumentált.

Nem csak FortiOS lehet érintett

A CVE-2025-25249 több Fortinet termékvonalban is megjelent.

Érintett lehet:

• FortiOS;
• FortiSwitchManager;
• bizonyos FortiSASE verziók.

Emellett olyan harmadik fél termékei is érintettek lehetnek, amelyek Fortinet technológiát építenek be.

A Siemens például külön biztonsági közleményt adott ki egyes RUGGEDCOM eszközökhöz.

Ez jól mutatja a supply-chain jellegű kockázatot:

👉 egyetlen beágyazott komponens sérülékenysége több gyártó termékeiben is megjelenhet.

A patch telepítése önmagában nem elég

Ez a kampány egyik legfontosabb tanulsága.

A biztonsági frissítés:

✔ bezárja a sérülékenységet

de nem feltétlenül:

❌ távolítja el a PivotC2-t
❌ törli a támadó által létrehozott accountokat
❌ állítja vissza a firewall szabályokat
❌ rotálja az ellopott credentialeket
❌ szünteti meg a persistence-t

Ezért azoknál a FortiGate eszközöknél, amelyek korábban sérülékeny verziót futtattak, retrospektív kompromittáltsági vizsgálat szükséges.

Mit kell ellenőrizni?

Különösen fontos vizsgálni:

• szokatlan admin loginokat;
• új adminisztrátori felhasználókat;
• ismeretlen fájlokat;
• szokatlan processzeket;
• váratlan outbound kapcsolatokat;
• módosított firewall szabályokat;
• local-in policy változásokat;
• VPN konfigurációkat;
• routing módosításokat;
• DNS beállításokat;
• logging kikapcsolását;
• gyanús script vagy automation elemeket.

Különösen erős jel lehet, ha maga a tűzfal kezdeményez internetes kapcsolatot olyan címekre, amelyekhez normál működésben nincs oka kapcsolódni.

Mi történjen kompromittáltság gyanúja esetén?

Ha bizonyíték van arra, hogy a tűzfalat már kihasználták, nem célszerű csak patch-elni és tovább használni.

A biztonságosabb eljárás:

izolálás → logmentés → forenzikus vizsgálat → trusted firmware → verified konfiguráció → credential rotáció

A konfiguráció teljes visszaállítását régi backupból csak akkor szabad elvégezni, ha az bizonyítottan a kompromittálás előtti, megbízható állapotból származik.

Ellenkező esetben visszakerülhet:

• támadói user;
• rosszindulatú policy;
• tunnel;
• script;
• rejtett persistence.

Credential rotáció is szükséges lehet

Egy kompromittált FortiGate-en található vagy azon keresztül használt hitelesítő adatokat potenciálisan kompromittáltnak kell tekinteni.

Ilyenek lehetnek:

• admin jelszavak;
• API kulcsok;
• VPN credentialök;
• LDAP/RADIUS integrációs adatok;
• certificate private key-k;
• service account secretök.

A cserét mindig ismert tiszta gépről érdemes végrehajtani.

Fortinet átmeneti mitigációi

Ha a frissítés azonnal nem végezhető el, a Fortinet több ideiglenes védelmi intézkedést javasolt.

Ilyen lehet:

• fabric access eltávolítása az érintett interfészekről;
• CAPWAP hozzáférés korlátozása;
• UDP 5246–5249 portok szűrése local-in policy segítségével;
• kizárólag megbízható eszközök engedélyezése.

Ezek csökkenthetik a támadási felületet.

De:

👉 nem helyettesítik a patch-et.

Az edge eszközök továbbra is kiemelt támadási célpontok

A FortiGate kampány jól illeszkedik egy szélesebb trendhez.

A támadók egyre gyakrabban célozzák:

• tűzfalakat;
• VPN gateway-eket;
• routereket;
• SD-WAN eszközöket;
• egyéb perimeter appliance-eket.

Ennek oka egyszerű:

👉 ezek az eszközök közvetlenül az interneten vannak, és közben magas bizalmi szinttel rendelkeznek a belső hálózat felé.

Ha egy ilyen eszköz elesik, a támadó megkerülheti a hagyományos endpoint security jelentős részét.

Különösen fontos a külső logolás

A tűzfal naplóit érdemes:

• SIEM-be;
• külön syslog szerverre;
• tamper-resistant log infrastruktúrába

továbbítani.

Ha a támadó admin vagy OS szintű hozzáférést szerez az appliance-hez, a helyi logokat törölheti vagy manipulálhatja.

A külső logok viszont olyan bizonyítékot őrizhetnek meg, amelyhez a támadó már nem fér hozzá.

Mit tegyenek most a szervezetek?

Az első lépés az összes:

• FortiOS;
• FortiSwitchManager;
• FortiSASE

példány azonosítása.

Ne maradjanak ki:

• backup appliance-ek;
• DR rendszerek;
• labor eszközök;
• harmadik fél által menedzselt FortiGate-ek.

Ezután:

👉 ellenőrizni kell a verziót
👉 telepíteni kell a Fortinet aktuális javított release-ét
👉 felül kell vizsgálni az internet-facing szolgáltatásokat
👉 retrospektív threat huntingot kell végezni
👉 kompromittáltság esetén incident response-ra kell váltani

A vulnerability management itt már incident response-szá válik

Ez a CVE-2025-25249 legfontosabb változása.

Korábban:

Vulnerability → Patch

Most viszont:

Vulnerability → Active exploitation → PivotC2 → Possible persistence → Incident Response

Ez teljesen más prioritást és eljárást igényel.

Következtetés

A CVE-2025-25249 már nem egyszerűen egy magas súlyosságú Fortinet sérülékenység.

A PivotC2 kampány arra utal, hogy támadók a FortiGate eszközöket tartós command-and-control és pivoting infrastruktúrává alakíthatják.

Ezért a szervezeteknek nemcsak azt kell ellenőrizniük, hogy a patch telepítve van-e.

A fontosabb kérdés:

👉 mi történt az eszközön a patch telepítése előtt?

Ha egy korábban sérülékeny FortiGate internet felől elérhető volt, a helyes megközelítés:

patch + threat hunting + konfigurációellenőrzés + credential review + szükség esetén teljes incident response.