Támadók egy korábban már nyilvánosságra hozott Fortinet sérülékenységet használnak ki FortiGate eszközök kompromittálására, majd egy újonnan azonosított post-exploitation keretrendszer, a PivotC2 telepítésére.
A támadások középpontjában a CVE-2025-25249 áll, amely a FortiOS, FortiSwitchManager és egyes FortiSASE verziókat érintő heap-based buffer overflow sérülékenység.
A hiba sikeres kihasználása lehetővé teheti, hogy egy hitelesítés nélküli távoli támadó speciálisan kialakított hálózati csomagokkal tetszőleges kódot vagy parancsokat hajtson végre a sérülékeny eszközön.
A Fortinet már 2026 januárjában kiadta a javítást, de a SOCRadar Threat Research Unit most nagy bizonyossággal valós támadásokhoz kapcsolta a sérülékenységet.
PivotC2: a tűzfalból támadói platform lesz
A PivotC2 nem egyszerűen egy hagyományos RAT, amely egy felhasználói munkaállomáson fut.
A kutatók szerint egy Node.js alapú post-exploitation és command-and-control keretrendszerről van szó, amelyet kifejezetten kompromittált FortiGate rendszerek kihasználására terveztek.
Ez azért különösen veszélyes, mert a tűzfal:
- folyamatosan internetkapcsolattal rendelkezik;
- központi helyen áll a hálózatban;
- látja a külső és belső forgalmat;
- gyakran VPN-kapcsolatokat kezel;
- közvetlen hozzáférése lehet több belső hálózati szegmenshez.
Egy kompromittált FortiGate így akár:
- rejtett C2 relayként;
- laterális mozgás kiindulópontjaként;
- credential gyűjtési platformként;
- perzisztens hozzáférési pontként
is használható.
👉 A tűzfal ebben az esetben már nem védelmi eszköz, hanem a támadási infrastruktúra része lesz.
Mi az a CVE-2025-25249?
A sérülékenység a Fortinet cw_acd daemon komponensét érinti, amely a CAPWAP protokollhoz kapcsolódik.
A CAPWAP – Control and Provisioning of Wireless Access Points – vezeték nélküli hozzáférési pontok menedzsmentjére használható.
A hiba típusa:
heap-based buffer overflow
Ez akkor történik, amikor egy program több adatot ír egy lefoglalt memóriaterületre, mint amennyit az képes biztonságosan kezelni.
A túlcsorduló adat:
- más memóriaterületeket írhat felül;
- megváltoztathatja a folyamat működését;
- process crash-t okozhat;
- megfelelő exploit esetén kódfuttatáshoz vezethet.
A CVE-2025-25249 esetében:
👉 nincs szükség hitelesítésre
👉 nincs szükség felhasználói interakcióra
👉 hálózaton keresztül támadható
Ez jelentősen növeli a kockázatot.
A sérülékenység nem új – az exploitation igen
A Fortinet Product Security csapata 2026. január 13-án publikálta a hibát.
Akkor még:
- nem volt ismert aktív kihasználás;
- nem volt publikus PoC;
- a probléma elsősorban patch-management kérdés volt.
A PivotC2 kampány azonban megváltoztatja a helyzetet.
👉 Ha a SOCRadar megállapítása helyes, akkor a CVE-2025-25249 már valódi intrusion chain része.
Ez azt jelenti, hogy az érintett szervezeteknek már nemcsak azt kell megkérdezniük:
„Frissítettük-e a FortiGate-et?”
hanem azt is:
„Kompromittálták-e még a frissítés előtt?”
Miért veszélyesebb egy feltört tűzfal, mint egy átlagos endpoint?
A FortiGate közvetlenül a vállalati hálózat egyik legfontosabb bizalmi pontja.
Egy támadó, aki megszerzi az irányítást, potenciálisan:
- feltérképezheti a belső hálózatot;
- figyelheti a forgalmat;
- megváltoztathatja a firewall policy-ket;
- módosíthatja a routingot;
- manipulálhatja a DNS-t;
- VPN hozzáféréseket szerezhet;
- új adminisztrátori fiókot hozhat létre;
- elrejtheti a C2 kommunikációt;
- hátsó ajtót építhet ki.
Ráadásul a hálózati appliance-eken általában nincs hagyományos EDR agent.
Ezért sok szervezet kevesebb telemetriával rendelkezik arról, hogy pontosan mi történik a tűzfalon.
A Node.js használata is figyelemre méltó
A PivotC2 Node.js használata szokatlan, de logikus választás lehet.
A JavaScript runtime előnyei:
- aszinkron hálózati kommunikáció;
- könnyen építhető moduláris architektúra;
- gyors fejlesztés;
- rugalmas C2 kommunikáció.
Ez egyben megnehezítheti azoknak a SOC-oknak a dolgát, amelyek elsősorban natív Linux binárisokra vagy klasszikus malware mintákra építik a hálózati appliance-ek monitoringját.
A SOCRadar megállapítása még nem hivatalos Fortinet megerősítés
Fontos különbséget tenni.
A SOCRadar szerint a kampány és a CVE-2025-25249 között high-confidence kapcsolat van.
Ugyanakkor a publikáció idején:
- a Fortinet nem nevezte meg hivatalosan a PivotC2-t;
- nem erősítette meg nyilvánosan ugyanezt a támadási kampányt;
- kormányzati CERT sem publikált külön megerősítést.
Ezért az attribúciót jelenleg kutatói értékelésként érdemes kezelni.
A kockázatot azonban nem érdemes alábecsülni, mert maga a sérülékenység és annak távoli kódfuttatási lehetősége már dokumentált.
Nem csak FortiOS lehet érintett
A CVE-2025-25249 több Fortinet termékvonalban is megjelent.
Érintett lehet:
- FortiOS;
- FortiSwitchManager;
- bizonyos FortiSASE verziók.
Emellett olyan harmadik fél termékei is érintettek lehetnek, amelyek Fortinet technológiát építenek be.
A Siemens például külön biztonsági közleményt adott ki egyes RUGGEDCOM eszközökhöz.
Ez jól mutatja a supply-chain jellegű kockázatot:
👉 egyetlen beágyazott komponens sérülékenysége több gyártó termékeiben is megjelenhet.
A patch telepítése önmagában nem elég
Ez a kampány egyik legfontosabb tanulsága.
A biztonsági frissítés:
✔ bezárja a sérülékenységet
de nem feltétlenül:
❌ távolítja el a PivotC2-t
❌ törli a támadó által létrehozott accountokat
❌ állítja vissza a firewall szabályokat
❌ rotálja az ellopott credentialeket
❌ szünteti meg a persistence-t
Ezért azoknál a FortiGate eszközöknél, amelyek korábban sérülékeny verziót futtattak, retrospektív kompromittáltsági vizsgálat szükséges.
Mit kell ellenőrizni?
Különösen fontos vizsgálni:
- szokatlan admin loginokat;
- új adminisztrátori felhasználókat;
- ismeretlen fájlokat;
- szokatlan processzeket;
- váratlan outbound kapcsolatokat;
- módosított firewall szabályokat;
- local-in policy változásokat;
- VPN konfigurációkat;
- routing módosításokat;
- DNS beállításokat;
- logging kikapcsolását;
- gyanús script vagy automation elemeket.
Különösen erős jel lehet, ha maga a tűzfal kezdeményez internetes kapcsolatot olyan címekre, amelyekhez normál működésben nincs oka kapcsolódni.
Mi történjen kompromittáltság gyanúja esetén?
Ha bizonyíték van arra, hogy a tűzfalat már kihasználták, nem célszerű csak patch-elni és tovább használni.
A biztonságosabb eljárás:
izolálás → logmentés → forenzikus vizsgálat → trusted firmware → verified konfiguráció → credential rotáció
A konfiguráció teljes visszaállítását régi backupból csak akkor szabad elvégezni, ha az bizonyítottan a kompromittálás előtti, megbízható állapotból származik.
Ellenkező esetben visszakerülhet:
- támadói user;
- rosszindulatú policy;
- tunnel;
- script;
- rejtett persistence.
Credential rotáció is szükséges lehet
Egy kompromittált FortiGate-en található vagy azon keresztül használt hitelesítő adatokat potenciálisan kompromittáltnak kell tekinteni.
Ilyenek lehetnek:
- admin jelszavak;
- API kulcsok;
- VPN credentialök;
- LDAP/RADIUS integrációs adatok;
- certificate private key-k;
- service account secretök.
A cserét mindig ismert tiszta gépről érdemes végrehajtani.
Fortinet átmeneti mitigációi
Ha a frissítés azonnal nem végezhető el, a Fortinet több ideiglenes védelmi intézkedést javasolt.
Ilyen lehet:
- fabric access eltávolítása az érintett interfészekről;
- CAPWAP hozzáférés korlátozása;
- UDP 5246–5249 portok szűrése local-in policy segítségével;
- kizárólag megbízható eszközök engedélyezése.
Ezek csökkenthetik a támadási felületet.
De:
👉 nem helyettesítik a patch-et.
Az edge eszközök továbbra is kiemelt támadási célpontok
A FortiGate kampány jól illeszkedik egy szélesebb trendhez.
A támadók egyre gyakrabban célozzák:
- tűzfalakat;
- VPN gateway-eket;
- routereket;
- SD-WAN eszközöket;
- egyéb perimeter appliance-eket.
Ennek oka egyszerű:
👉 ezek az eszközök közvetlenül az interneten vannak, és közben magas bizalmi szinttel rendelkeznek a belső hálózat felé.
Ha egy ilyen eszköz elesik, a támadó megkerülheti a hagyományos endpoint security jelentős részét.
Különösen fontos a külső logolás
A tűzfal naplóit érdemes:
- SIEM-be;
- külön syslog szerverre;
- tamper-resistant log infrastruktúrába
továbbítani.
Ha a támadó admin vagy OS szintű hozzáférést szerez az appliance-hez, a helyi logokat törölheti vagy manipulálhatja.
A külső logok viszont olyan bizonyítékot őrizhetnek meg, amelyhez a támadó már nem fér hozzá.
Mit tegyenek most a szervezetek?
Az első lépés az összes:
- FortiOS;
- FortiSwitchManager;
- FortiSASE
példány azonosítása.
Ne maradjanak ki:
- backup appliance-ek;
- DR rendszerek;
- labor eszközök;
- harmadik fél által menedzselt FortiGate-ek.
Ezután:
👉 ellenőrizni kell a verziót
👉 telepíteni kell a Fortinet aktuális javított release-ét
👉 felül kell vizsgálni az internet-facing szolgáltatásokat
👉 retrospektív threat huntingot kell végezni
👉 kompromittáltság esetén incident response-ra kell váltani
A vulnerability management itt már incident response-szá válik
Ez a CVE-2025-25249 legfontosabb változása.
Korábban:
Vulnerability → Patch
Most viszont:
Vulnerability → Active exploitation → PivotC2 → Possible persistence → Incident Response
Ez teljesen más prioritást és eljárást igényel.
Következtetés
A CVE-2025-25249 már nem egyszerűen egy magas súlyosságú Fortinet sérülékenység.
A PivotC2 kampány arra utal, hogy támadók a FortiGate eszközöket tartós command-and-control és pivoting infrastruktúrává alakíthatják.
Ezért a szervezeteknek nemcsak azt kell ellenőrizniük, hogy a patch telepítve van-e.
A fontosabb kérdés:
👉 mi történt az eszközön a patch telepítése előtt?
Ha egy korábban sérülékeny FortiGate internet felől elérhető volt, a helyes megközelítés:
patch + threat hunting + konfigurációellenőrzés + credential review + szükség esetén teljes incident response.
