Wprowadzenie do problemu
Amerykańska agencja CISA rozszerzyła katalog Known Exploited Vulnerabilities o dwie istotne podatności dotyczące produktów Fortinet oraz platformy BeyondTrust Remote Support. Taki wpis oznacza, że luki są już wykorzystywane w realnych atakach, a nie stanowią wyłącznie teoretycznego ryzyka. Dla administratorów, zespołów SOC i właścicieli infrastruktury to wyraźny sygnał do natychmiastowej priorytetyzacji działań naprawczych.
W skrócie
Do katalogu KEV trafiły CVE-2025-61624 oraz CVE-2026-102764. Pierwsza z nich dotyczy wielu produktów Fortinet i wiąże się z obejściem ograniczeń ścieżek dostępu, co może prowadzić do nieautoryzowanych operacji na plikach i wdrożenia złośliwego kodu. Druga luka dotyczy BeyondTrust Remote Support i umożliwia obejście uwierzytelnienia przez podszywanie się z powodu niewłaściwej walidacji źródła komunikatów.
- Fortinet: ryzyko operacji na plikach poza dozwolonym zakresem
- BeyondTrust: możliwość nadużycia zaufanego kanału zdalnego wsparcia
- Obie luki były wykorzystywane do uzyskania dostępu początkowego, utrwalenia obecności i ruchu bocznego
Kontekst i historia
Katalog KEV jest jednym z najważniejszych praktycznych narzędzi do priorytetyzacji ryzyka w cyberbezpieczeństwie. Umieszczenie podatności w tym zestawieniu oznacza potwierdzoną aktywną eksploatację i zwykle wymaga szybkiego wdrożenia poprawek. W tym przypadku szczególnie niepokojące jest to, że chodzi o rozwiązania wykorzystywane do ochrony, administracji i zdalnego wsparcia, czyli obszary posiadające często uprzywilejowany dostęp do infrastruktury.
W przypadku Fortinet dodatkowego znaczenia nabierają doniesienia o kampaniach wykorzystujących podatność do wdrożenia implantu PEERSTITCH i kompromitacji zapór sieciowych. BeyondTrust Remote Support z kolei jest szeroko stosowany przez help desk oraz administratorów do obsługi stacji roboczych i serwerów, dlatego każda luka w tym typie narzędzia może przełożyć się na przejęcie zaufanych kanałów administracyjnych.
Analiza techniczna
CVE-2025-61624 została opisana jako podatność typu path traversal obejmująca wiele produktów Fortinet. Tego rodzaju błąd pozwala manipulować ścieżkami dostępu do zasobów w sposób omijający zamierzone ograniczenia aplikacji. W praktyce może to umożliwić odczyt, zapis lub modyfikację plików poza przewidzianym zakresem działania systemu. Powiązanie tej luki z mechanizmem auto-script w FortiOS dodatkowo zwiększa ryzyko użycia jej do wstrzyknięcia złośliwych działań administracyjnych lub wdrożenia trwałego implantu.
CVE-2026-102764 w BeyondTrust Remote Support ma charakter obejścia uwierzytelnienia przez spoofing. Problem wynika z niewłaściwej walidacji źródła przychodzących komunikatów przez komponenty wewnętrzne. Jeżeli system nie potrafi jednoznacznie potwierdzić, że żądanie pochodzi z zaufanego źródła, atakujący może wymusić określone operacje na plikach lub komponentach platformy. W środowiskach zdalnego wsparcia oznacza to szczególnie wysoki poziom ryzyka, ponieważ narzędzie z założenia ma szeroki dostęp do urządzeń końcowych i zasobów operacyjnych.
Oba przypadki wpisują się w wyjątkowo niebezpieczną kategorię błędów w produktach bezpieczeństwa i narzędziach administracyjnych. Eksploatacja takich luk daje przeciwnikowi nie tylko punkt wejścia do środowiska, ale także możliwość ukrycia działań wewnątrz systemów uznawanych przez organizację za zaufane.
Konsekwencje i ryzyko
Najpoważniejszym skutkiem jest możliwość przejęcia systemów o podwyższonych uprawnieniach. Jeżeli podatność występuje w zaporze sieciowej, platformie zarządzającej lub narzędziu zdalnego wsparcia, atakujący może uzyskać kontrolę nad krytycznym elementem infrastruktury. To z kolei otwiera drogę do dalszych etapów ataku, takich jak utrzymanie dostępu, eskalacja uprawnień, kradzież poświadczeń, manipulacja konfiguracją czy osłabienie mechanizmów ochronnych.
Dodatkowym problemem jest trudność wykrycia takiej aktywności. Operacje wykonywane z poziomu legalnego narzędzia administracyjnego mogą wyglądać jak standardowe działania operacyjne, co wydłuża czas wykrycia incydentu i utrudnia analizę śladów kompromitacji.
- szczególnie zagrożone są organizacje eksponujące interfejsy administracyjne do Internetu,
- ryzyko rośnie przy nieaktualnych wersjach Fortinet i BeyondTrust,
- brak segmentacji ruchu administracyjnego zwiększa skalę potencjalnego naruszenia,
- niewystarczające monitorowanie zmian konfiguracji utrudnia szybkie wykrycie incydentu.
Rekomendacje
Organizacje powinny potraktować obie podatności jako krytyczne do usunięcia. W pierwszej kolejności należy sprawdzić wersje wdrożonych produktów, potwierdzić dostępność poprawek i wdrożyć aktualizacje zgodnie z zaleceniami producentów. W przypadku BeyondTrust trzeba uwzględnić możliwość konieczności wcześniejszego przejścia do wspieranej gałęzi wersji przed zastosowaniem łat bezpieczeństwa.
Równolegle warto wykonać dodatkowe działania defensywne:
- przegląd ekspozycji usług administracyjnych do sieci publicznej,
- audyt kont uprzywilejowanych powiązanych z narzędziami wsparcia i zarządzania,
- analizę logów pod kątem nietypowych operacji na plikach, zmian konfiguracji i anomalii uwierzytelniania,
- poszukiwanie oznak utrwalenia obecności oraz nieautoryzowanych implantów,
- segmentację dostępu do interfejsów zarządzających wyłącznie z zaufanych stref,
- włączenie MFA, list dozwolonych adresów oraz monitorowania sesji administracyjnych.
W środowiskach o podwyższonych wymaganiach bezpieczeństwa zasadny jest również szybki threat hunting ukierunkowany na urządzenia Fortinet i infrastrukturę zdalnego wsparcia. Sama instalacja poprawki nie daje pewności, że podatność nie została wykorzystana wcześniej.
Podsumowanie
Dodanie CVE-2025-61624 i CVE-2026-102764 do katalogu KEV potwierdza, że zagrożenie ma charakter operacyjny i wymaga pilnej reakcji. Obie podatności dotyczą systemów o wysokim poziomie zaufania i szerokich uprawnieniach, dlatego ich skuteczne wykorzystanie może prowadzić do poważnej kompromitacji środowiska. Kluczowe działania po stronie organizacji to szybkie aktualizacje, weryfikacja śladów naruszenia oraz ograniczenie ekspozycji interfejsów administracyjnych.
Źródła
- CISA Known Exploited Vulnerabilities Catalog – https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Security Affairs: U.S. CISA adds Fortinet Multiple Products and BeyondTrust Remote Support flaws to its Known Exploited Vulnerabilities catalog – https://securityaffairs.com/201178/security/u-s-cisa-adds-fortinet-multiple-products-and-beyondtrust-remote-support-flaws-to-its-known-exploited-vulnerabilities-catalog.html
- CVE-2025-61624 – https://www.cve.org/CVERecord?id=CVE-2025-61624
- CVE-2026-102764 – https://www.cve.org/CVERecord?id=CVE-2026-102764
- Binding Operational Directive 22-01 – https://cyber.dhs.gov/bod/22-01/