FortiGate'lere yerleşen PEERSTITCH zararlısı, yamalı bir Fortinet açığıyla VPN denetimlerini atlatıyor

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Fortinet’in FortiOS, FortiProxy, FortiPAM ve FortiSwitchManager ürünlerindeki CVE-2025-61624 numaralı açığı 16 Ekim’de aktif istismar edilen açıklar kataloğuna ekledi. Açık, cihazın komut satırı arayüzündeki bir dizin geçişi (path traversal) hatası. Yönetici profiline ve en az okuma-yazma yetkisine sahip bir saldırganın, belirli komutlarla cihazda istediği dosyaları yazmasına ya da silmesine izin veriyor. CVSS 3.1 puanı 5.4. Fortinet açığı Nisan 2026’da kapatmıştı.

Tek başına bakıldığında, yönetici yetkisi gerektiren orta önemde bir açık. Ancak Palo Alto Networks’ün tehdit araştırma ekibi Unit 42’nin aynı gün yayımladığı inceleme, açığın daha geniş bir saldırı zincirinin içinde nasıl kullanıldığını gösteriyor. Unit 42, bir telekomünikasyon yönetilen hizmet sağlayıcısındaki uzun süreli bir sızmayı incelerken saldırganların önce FortiManager’daki kritik FortiJump açığından (CVE-2024-47575) içeri girdiğini tespit etti. Saldırganlar FortiManager’ı taklit ederek bu sistemin yönettiği 500’den fazla FortiGate güvenlik duvarının yapılandırmalarını, erişim bilgilerini ve anahtarlarını topladı. CVE-2025-61624 ise cihazlarda yetkilerini artırmak için kullanılan adımlardan biriydi.

Saldırganların cihazlara yerleştirdiği zararlıya PEERSTITCH adı verildi. Zararlı yalnızca bellekte çalışıyor, diske kalıcı bir dosya bırakmıyor, port açmıyor ve kendi başına dışarıya bağlantı kurmuyor. İletişimini cihazın meşru süreçlerinin trafiği üzerinden yürütüyor. FortiOS’un kayıt ve VPN süreçlerine kod enjekte ederek ikisi arasında gizli bir kanal kuruyor ve belirli bir etiket taşıyan VPN oturumlarının cihazın varsayılan güvenlik denetimlerinden geçmeden kabul edilmesini sağlıyor. Unit 42 etkinliği CL-STA-0954 (UNC5820) adıyla takip ediyor ve “gelişmiş bir tehdit aktörü” olarak tanımlıyor, ancak belirli bir ülkeyle ilişkilendirmiyor.

Olay, çok sayıda cihazı tek merkezden yöneten sistemlerin saldırganlar için ne kadar değerli olduğunu gösteriyor. FortiManager’ı ele geçiren biri, ona bağlı bütün güvenlik duvarlarına uzanabiliyor.

Önerilen önlemler

FortiOS 7.6 kullananların 7.6.5’e, 7.4 kullananların 7.4.10’a ya da daha yenisine geçmesi gerekiyor. FortiOS 7.2, 7.0 ve 6.4’ün bütün sürümleri etkileniyor, bu sürümlerin düzeltilmiş bir seriye taşınması gerekiyor. FortiProxy, FortiPAM ve FortiSwitchManager için düzeltilmiş sürümler Fortinet’in FG-IR-26-122 bülteninde. FortiManager kullanan kurumların FortiJump açığının kapatıldığından da emin olması gerekiyor.

Saldırı zincirinde yönetici erişimi ele geçirildiği için yalnızca güncelleme yetmeyebilir. Yönetici hesaplarının ve VPN erişim bilgilerinin değiştirilmesi, cihazlardaki beklenmedik VPN oturumlarının ve yapılandırma değişikliklerinin incelenmesi, yönetim arayüzlerinin internete kapatılması öneriliyor. PEERSTITCH diske iz bırakmadığı için şüphe durumunda bellek incelemesi ve Fortinet desteğiyle çalışmak gerekebilir.