FortiWeb: חולשת CVE-2025-64446 מאפשרת השתלטות בלי הזדהות, וכבר מנוצלת
ב-14 בנובמבר 2025 פרסמה Fortinet התראה על CVE-2025-64446 ב-FortiWeb. תוקף בלי הזדהות יכול ליצור מנהל חדש במכשיר, ו-Fortinet מאשרת ניצול בשטח.
TL;DR בקצרה
- Fortinet פרסמה ב-14 בנובמבר 2025 את FG-IR-25-910: חולשת path traversal בממשק הניהול של FortiWeb, בציון CVSS 9.8.
- Fortinet כותבת שהיא ראתה ניצול בשטח. CISA הוסיפה את החולשה לקטלוג KEV באותו יום, עם יעד תיקון ל-21 בנובמבר.
- התיקון נמצא בגרסאות 8.0.2, 7.6.5, 7.4.10, 7.2.12 ו-7.0.12. לפי watchTowr, Fortinet תיקנה בשקט כבר ב-8.0.2.
- מי שמשדרג צריך גם לחפש חשבונות מנהל חדשים, כי שדרוג לא מנקה פריצה שכבר קרתה.
ב-14 בנובמבר 2025 פרסמה Fortinet התראה על CVE-2025-64446, חולשה קריטית ב-FortiWeb, חומת ההגנה לאפליקציות שלה. החולשה מאפשרת לתוקף בלי הזדהות להריץ פקודות ניהול על המכשיר. לפי הודעת Fortinet, החברה כבר ראתה ניצול של החולשה בשטח.
מה Fortinet אישרה על CVE-2025-64446
ההודעה FG-IR-25-910 מתארת חולשת relative path traversal בממשק הניהול של FortiWeb. תוקף בלי הזדהות שולח בקשות HTTP או HTTPS מנוסחות במיוחד. בעזרתן הוא מריץ פקודות ניהול. Fortinet מדרגת את החולשה ב-CVSS 9.8, ואחרים מציינים 9.1. השירות FortiAppSec Cloud לא חשוף.
הגרסאות החשופות והתיקונים לפי Fortinet:
- FortiWeb 8.0.0 עד 8.0.1: לעבור ל-8.0.2 ומעלה.
- FortiWeb 7.6.0 עד 7.6.4: לעבור ל-7.6.5 ומעלה.
- FortiWeb 7.4.0 עד 7.4.9: לעבור ל-7.4.10 ומעלה.
- FortiWeb 7.2.0 עד 7.2.11: לעבור ל-7.2.12 ומעלה.
- FortiWeb 7.0.0 עד 7.0.11: לעבור ל-7.0.12 ומעלה.
גרסה 6.4 לא חשופה, לפי ההודעה. ביום הפרסום הוסיפה CISA את החולשה לקטלוג KEV, רשימת החולשות המנוצלות בפועל. היא קבעה יעד תיקון לסוכנויות פדרליות ב-21 בנובמבר 2025, שבוע אחד בלבד. בדרך כלל ל-KEV יש שלושה שבועות, לפי SecurityWeek.
למה זה נראה כמו תיקון שקט
לפי Rapid7, חברת Defused פרסמה ב-6 באוקטובר 2025 קוד ניצול שנתפס במלכודת דבש של FortiWeb. Rapid7 בדקה אותו ב-13 בנובמבר 2025. מול גרסה 8.0.1 הוא יצר חשבון מנהל בשם hax0r. מול גרסה 8.0.2 הוא נכשל עם שגיאה 403.
הערות השחרור של 8.0.2 לא מזכירות את החולשה. לכן חברת watchTowr סבורה ש-Fortinet תיקנה אותה בשקט, אחרי שגילתה ניצול באוקטובר. Rapid7 מציינת שלא ברור אם התיקון השקט מכוון. Fortinet סירבה לפרט מתי נודע לה על הניצול, ואמרה שהפעילה את צוות התגובה שלה.
לפי watchTowr, שמצוטטת ב-SecurityWeek, התוקפים פועלים ללא הבחנה בכל העולם. הניתוח שלה מתאר שרשרת של path traversal ועקיפת הזדהות. התוצאה היא יצירת חשבון מנהל, ומשם שליטה מלאה.
לפי VulnCheck, חיפוש ב-Shodan מצא קצת פחות מ-300 מכשירים חשופים לאינטרנט, אחרי סינון מלכודות דבש. חיפוש ב-FOFA מצא כמעט 2,700. המספרים שונים בין הכלים, אבל הכיוון ברור: יש מאות עד אלפי מכשירים שאפשר לתקוף מרחוק.
איך מתגוננים מפני CVE-2025-64446
Fortinet ממליצה לשדרג לגרסה מתוקנת. אם אי אפשר לשדרג מיד, כבו HTTP ו-HTTPS בממשקים הפונים לאינטרנט. הסיכון יורד משמעותית כשממשק הניהול נגיש רק מהרשת הפנימית.
אחרי השדרוג Fortinet מבקשת לבדוק תצורה ויומנים. חפשו שינויים לא צפויים וחשבונות מנהל שלא יצרתם. לפי VulnCheck, תיקון לא מסיר פריצה קודמת, ולכן כדאי להפעיל נוהל תגובה לאירוע.
מה זה אומר עבורכם
- שדרגו עכשיו: היעד הוא 8.0.2, 7.6.5, 7.4.10, 7.2.12 או 7.0.12 ומעלה, לפי הענף שלכם.
- סגרו את ממשק הניהול לאינטרנט: אם אי אפשר לשדרג מיד, כבו HTTP ו-HTTPS בממשקים החיצוניים.
- חפשו חשבונות מנהל חדשים: בדקו גם יומנים מאוקטובר 2025, כי Defused ראתה ניצול כבר ב-6 באוקטובר.
- הניחו שייתכן שנפרצתם: אם הממשק היה פתוח לאינטרנט, החליפו סיסמאות ובדקו את התצורה.
- בקשו מ-Fortinet מידע: VulnCheck ממליצה לדרוש אינדיקטורים והנחיות חיפוש מהחברה.
מה קרה מאז
ב-18 בנובמבר 2025 פרסמה Fortinet התראה על חולשה נוספת ב-FortiWeb, CVE-2025-58034. גם עליה היא מדווחת על ניצול, ו-CISA הוסיפה אותה ל-KEV. ב-1 בדצמבר 2025 עדכנה Rapid7 שגרסאות 6.x, שאינן נתמכות, חשופות לשתי החולשות.
מקורות והרחבה
- Path confusion vulnerability in GUI (FortiWeb), FG-IR-25-910Fortinet PSIRT
- Fortinet Confirms Active Exploitation of Critical FortiWeb VulnerabilitySecurityWeek
- CVE-2025-64446: Critical Vulnerability in Fortinet FortiWeb Exploited in the WildRapid7
- Fortinet FortiWeb exploitation hits silently patched vulnerabilityVulnCheck
- Known Exploited Vulnerabilities Catalog (CVE-2025-64446, added 2025-11-14, due 2025-11-21)CISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
