FortiWeb: Fortinet אישרה פרצה שנייה בתוך ארבעה ימים, ו-CISA הוסיפה את שתיהן
ב-18 בנובמבר 2025 פרסמה Fortinet את CVE-2025-58034, הזרקת פקודות ב-FortiWeb שלדבריה כבר מנוצלת בשטח. ארבעה ימים קודם היא חשפה פרצה קריטית אחרת, CVE-2025-64446.
TL;DR בקצרה
- ב-18 בנובמבר 2025 אישרה Fortinet שתוקפים משתמשים בפרצה CVE-2025-58034, הזרקת פקודות ב-FortiWeb שדורשת אימות.
- CVE-2025-64446, שפורסמה ב-14 בנובמבר, היא עקיפת אימות קריטית באותו מוצר. CISA הוסיפה את שתיהן לקטלוג KEV.
- הגרסאות שמכסות את שתי הפרצות: 8.0.2, 7.6.6, 7.4.11, 7.2.12 ו-7.0.12 ומעלה. ל-CVE-2025-58034 אין עקיפה זמנית.
- לפי Rapid7, יש טענות לניצול של CVE-2025-64446 כבר מאוקטובר, ולכן כדאי לבדוק גם חשבונות מנהל.
ב-18 בנובמבר 2025 פרסמה Fortinet התראה על פרצה שנייה ב-FortiWeb, CVE-2025-58034. לדבריה, תוקפים כבר משתמשים בה בשטח. זה קרה ארבעה ימים אחרי שהחברה חשפה פרצה קריטית אחרת באותו מוצר, CVE-2025-64446. CISA הוסיפה את שתיהן לקטלוג הפרצות הפעילות, ואת ההתראה המלאה אפשר לקרוא ב-PSIRT של Fortinet.
מה Fortinet אישרה על FortiWeb ב-18 בנובמבר
FortiWeb הוא חומת האש של Fortinet לאפליקציות ווב, WAF. הוא יושב מול האינטרנט ומסנן תקיפות לפני שהן מגיעות לאתר. הפרצה החדשה היא הזרקת פקודות מערכת הפעלה בממשקי ה-API וה-CLI.
לפי Fortinet, תוקף עם הרשאת כניסה יכול להריץ קוד על מערכת ההפעלה של המכשיר. הוא עושה זאת בבקשות HTTP שתוקף מנסח במיוחד, או בפקודות CLI. החברה מציינת שהיא ראתה ניצול בשטח, והיא לא מציעה עקיפה זמנית. הפתרון היחיד הוא עדכון.
גילתה את הפרצה צוות המודיעין של Fortinet, בתודה ל-Jason McFadyen מ-Trend Research. CISA הוסיפה אותה לקטלוג ב-18 בנובמבר, עם דד-ליין של שבוע לסוכנויות פדרליות, עד 25 בנובמבר. הדד-ליין הקצר נובע מהניצול של פרצה קשורה ב-FortiWeb.
שתי הפרצות: מה ההבדל ומה הקשר
- CVE-2025-64446, מ-14 בנובמבר: path traversal בממשק הניהול. תוקף ללא אימות עשוי להריץ פקודות ניהול. Fortinet מגדירה אותה קריטית.
- CVE-2025-58034, מ-18 בנובמבר: הזרקת פקודות שדורשת אימות. היא פוגעת במכשיר אחרי כניסה.
לפי watchTowr, CVE-2025-64446 משלבת path traversal עם עקיפת אימות. תוקף יוצר כותרת מיוחדת ומתחזה לכל משתמש, כולל מנהל המערכת. החברה הציגה בקשה שיצרה משתמש מקומי עם הרשאות prof_admin. היא מתארת זאת כמנגנון התמדה חלש, כלומר דרך להישאר במערכת.
Rapid7 מספרת ש-Defused תפסה קוד ניצול במלכודת דבש ב-6 באוקטובר 2025. לטענתה הניצול בשטח החל כבר אז. Rapid7 ו-watchTowr מציינות ש-FortiWeb 8.0.2 חוסמת את הניצול. לפי watchTowr, הערות הגרסה לא מזכירות תיקון. לא ידוע אם זה היה מכוון. Rapid7 גם אומרת שלא ברור אם התוקפים חיברו את שתי הפרצות.
איך מגינים על FortiWeb עד שמעדכנים
המכשיר יושב בקצה הרשת, בין האינטרנט לאתרים שלכם. לכן פריצה אליו נותנת לתוקף נקודת אחיזה במקום רגיש. עדכון הוא הצעד הראשון, אבל לא היחיד.
עבור CVE-2025-64446 Fortinet ממליצה לכבות HTTP ו-HTTPS בממשקים שפונים לאינטרנט, עד העדכון. היא מציינת שהגבלת ממשק הניהול לרשת פנימית מורידה את הסיכון משמעותית. אחרי העדכון היא ממליצה לעבור על התצורה ועל היומנים. יש לחפש שינויים לא צפויים וחשבונות מנהל לא מורשים.
מה זה אומר עבורכם
- עדכנו לגרסה שמכסה את שתי הפרצות: 8.0.2, 7.6.6, 7.4.11, 7.2.12 או 7.0.12 ומעלה. גרסאות 7.6.5 ו-7.4.10 סוגרות רק את הפרצה הראשונה.
- סגרו את הניהול לאינטרנט: אם אי אפשר לעדכן מיד, כבו HTTP ו-HTTPS בממשקים החיצוניים. הגבילו את הניהול לרשת פנימית.
- חפשו משתמשים שלא יצרתם: בדקו חשבונות מנהל מקומיים חדשים. עברו על שינויי תצורה ועל יומנים, גם אחרי העדכון.
- חשדו בפריצה אם הממשק היה חשוף: לפי Rapid7 יש טענות לניצול כבר מאוקטובר. מכשיר ישן שהניהול שלו היה פתוח לאינטרנט דורש בדיקה, לא רק עדכון.
- אם ספק מנהל את FortiWeb עבורכם: שאלו אותו אילו גרסאות רצות אצלכם, ומתי עודכנו.
מקורות והרחבה
- Multiple OS command injection in API and CLI (FG-IR-25-513, CVE-2025-58034)Fortinet PSIRT
- Path confusion vulnerability in GUI (FG-IR-25-910, CVE-2025-64446)Fortinet PSIRT
- CISA Adds One Known Exploited Vulnerability to Catalog (CVE-2025-58034)CISA
- When the Impersonation Function Gets Used To Impersonate Users (Fortinet FortiWeb Auth Bypass)watchTowr Labs
- Critical Vulnerability in Fortinet FortiWeb Exploited in the Wild (CVE-2025-64446)Rapid7
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
