Krytyczne zagrożenie w systemie bezpieczeństwa
FortiSIEM, jedno z kluczowych narzędzi monitorowania i analizy bezpieczeństwa IT, znalazło się w centrum uwagi ekspertów po ujawnieniu krytycznej luki oznaczonej jako CVE-2025-25256. System, używany m.in. przez instytucje rządowe, korporacje finansowe, placówki medyczne oraz dostawców usług MSSP, pełni kluczową rolę w centrach operacji bezpieczeństwa, analizując ruch sieciowy, rejestry zdarzeń i alerty. Problem dotyczy szerokiego zakresu wersji – od 5.4 po 7.3 – i został oceniony na 9,8 w skali CVSS, co stawia go w kategorii najwyższego ryzyka. Luka polega na niewłaściwej obsłudze danych wejściowych w poleceniach systemowych, co otwiera furtkę do wykonania dowolnych komend na podatnym urządzeniu. Najgroźniejsze jest to, że atakujący nie potrzebuje żadnych danych logowania – wystarczy specjalnie spreparowane żądanie. Fortinet potwierdził, że kod exploita jest już w obiegu i może być wykorzystany w praktycznych atakach. Co gorsza, wykorzystanie luki nie pozostawia typowych śladów, które pozwoliłyby łatwo zidentyfikować włamanie.
Pilne aktualizacje i tymczasowe obejścia
Ostrzeżenie pojawiło się dzień po tym, jak analitycy z GreyNoise odnotowali gwałtowny wzrost prób ataków na usługi Fortinet, w tym SSL VPN, a następnie FortiManager. Choć nie potwierdzono wprost związku między tymi incydentami a CVE-2025-25256, specjaliści podkreślają, że takie skoki aktywności często poprzedzają masowe kampanie wykorzystujące nowe luki. Fortinet zaleca natychmiastową aktualizację systemów do wersji wolnych od podatności, w tym FortiSIEM 7.3.2, 7.2.6, 7.1.8, 7.0.4 lub 6.7.10. Starsze wydania od 5.4 do 6.6 nie będą już łatanie, co oznacza konieczność migracji do nowszych, wspieranych wersji.
Dla administratorów, którzy nie mogą wdrożyć poprawek od razu, producent przygotował obejście polegające na ograniczeniu dostępu do usługi phMonitor na porcie 7900, która stanowi punkt wejścia dla ataków. Fortinet zaznacza jednak, że takie działanie jedynie zmniejsza ryzyko i kupuje czas – pełne bezpieczeństwo zapewnia wyłącznie aktualizacja. Biorąc pod uwagę, że exploit jest już w sieci, a luka umożliwia przejęcie kontroli nad urządzeniem bez uwierzytelnienia, tempo reakcji może zadecydować o tym, czy organizacja uniknie poważnych konsekwencji. Eksperci nie mają wątpliwości – to jeden z tych przypadków, w których zwlekanie może kosztować bardzo drogo.
