Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią sieć zaporami Fortinet FortiGate lub zarządzają przełącznikami przez FortiSwitchManager. Werdykt: jeśli FortiOS jest starszy niż 7.6.4, 7.4.9, 7.2.12 lub 7.0.18, zaktualizuj go dziś i sprawdź urządzenie pod kątem włamania, bo przestępcy od co najmniej lipca 2026 roku przejmują przez tę lukę zapory bez znajomości hasła.
Amerykańska agencja CISA 9 września 2026 roku dopisała CVE-2025-25249 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Dała agencjom federalnym tylko trzy dni na poprawkę i nakazała przeprowadzić triaż śledczy, czyli sprawdzić, czy urządzenie nie zostało już przejęte.
Luka to przepełnienie bufora w systemie FortiOS, który działa na zaporach FortiGate, oraz w FortiSwitchManager. Według Fortinet błąd dotyczy usługi CAPWAP, służącej do współpracy z punktami dostępowymi i przełącznikami, i pozwala napastnikowi z sieci, bez logowania, uruchomić własny kod na urządzeniu. Fortinet wydał poprawki 13 stycznia 2026 roku. Według firmy SOCRadar (omówienie SecurityWeek) przestępcy instalują przez tę lukę na zaporach narzędzie szpiegujące PivotC2.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-25249 |
Data dodania do CISA KEV | 2026-09-09 |
Termin naprawy wg CISA | 2026-09-12 |
Produkt | Fortinet FortiOS (zapory FortiGate, FortiGate VM, FortiWiFi), FortiSwitchManager, FortiSASE; także moduł Fortinet NGFW w urządzeniach Siemens RUGGEDCOM APE1808 |
Wersje zagrożone | FortiOS 7.6.0 do 7.6.3, 7.4.0 do 7.4.8, 7.2.0 do 7.2.11, 7.0.0 do 7.0.17, gałąź 6.4; FortiSwitchManager 7.2.0 do 7.2.6 i 7.0.0 do 7.0.5. Ryzyko dotyczy interfejsów, na których włączony jest dostęp „fabric” (usługa CAPWAP) |
Wersje bezpieczne | FortiOS 7.6.4, 7.4.9, 7.2.12, 7.0.18 lub nowsze; FortiSwitchManager 7.2.7, 7.0.6 lub nowsze. Dla FortiOS 6.4 zestawienie Arctic Wolf wskazuje 6.4.17, a NVD nie podaje wersji z poprawką. FortiSASE: Fortinet poprawił usługę po swojej stronie, klienci nie muszą nic robić. RUGGEDCOM APE1808: moduł NGFW 7.4.9 lub nowszy wg Siemens |
Typ podatności | Przepełnienie bufora na stercie prowadzące do wykonania kodu; CWE-122 (Fortinet), CWE-787 (NVD) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, NVD); 8.1 WYSOKA (CVSS 3.1, Fortinet w NVD oraz Siemens); 7.4 WYSOKA (CVSS 3.1 z metrykami czasowymi, rekord CVE Fortinet). Różnica wynika z tego, że Fortinet uznaje atak za trudniejszy do przeprowadzenia |
💡 Rozbieżność w źródłach dotyczy też zakresu wersji: opis luki obejmuje FortiOS 7.0 i 6.4, a lista wersji w rekordzie CVE Fortinet jest węższa. Bezpieczniej przyjąć szerszy zakres z opisu i NVD.
Wyobraź sobie ochroniarza przy wejściu do firmy, który oprócz sprawdzania gości przyjmuje też paczki dla działu technicznego przez boczne okienko. Okienko ma skrzynkę określonej wielkości. Ktoś wsuwa przesyłkę o nietypowym kształcie, skrzynka pęka, a zawartość paczki trafia prosto na biurko ochroniarza i zaczyna wydawać polecenia w jego imieniu.
Zapora FortiGate jest właśnie takim ochroniarzem całej sieci firmy. Usługa CAPWAP to boczne okienko do komunikacji z punktami dostępowymi i przełącznikami. Błąd w obsłudze przesyłanych danych pozwala napastnikowi, bez hasła, uruchomić własny program na samej zaporze. Kto przejmie zaporę, widzi ruch całej firmy i może wejść dalej do sieci.
💡 FortiOS to system operacyjny zapór Fortinet. CAPWAP to protokół, przez który zapora zarządza punktami dostępowymi Wi-Fi i przełącznikami. Dostęp „fabric” to ustawienie interfejsu zapory, które otwiera tę komunikację. RAT (trojan zdalnego dostępu) to program dający przestępcy stałą, ukrytą kontrolę nad urządzeniem. Triaż śledczy to szybkie sprawdzenie, czy urządzenie nosi ślady włamania.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obcy wysyła dane do zapory | Zapora je odrzuca lub obsługuje bezpiecznie | Może uruchomić na zaporze własny kod |
Hasło administratora zapory | Konieczne do zmian | Niepotrzebne napastnikowi |
Konfiguracja zapory i zapisane dane logowania | Dostępne tylko dla administratorów | Mogą zostać pobrane przez przestępców |
Ruch do sieci wewnętrznej | Kontrolowany przez reguły | Zapora staje się tunelem dla napastnika |
Aktualizacja do wersji z poprawką | Rutynowa czynność | Nie usuwa już zainstalowanego szpiega |
źródło: wygenerowane przez AIPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do opisu kampanii PivotC2 przez SOCRadar. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Napastnik nie potrzebuje hasła, ale musi dotrzeć do interfejsu zapory z włączonym dostępem „fabric”.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 | Masowe wyszukiwanie dostępnych zapór Fortinet w podatnych wersjach | Lista celów (SOCRadar: ponad 30 tys. adresów) |
2. Przejęcie zapory | T+minuty | Wykorzystanie luki w usłudze CAPWAP | Kod przestępców działa na zaporze |
3. Instalacja szpiega | T+godziny | Wgranie trojana PivotC2 | Stały, ukryty dostęp (SOCRadar: 178 zainfekowanych urządzeń) |
4. Zbieranie danych | T+godziny do dni | Pobranie konfiguracji i danych logowania z zapory | Klucze do VPN i innych systemów |
5. Wejście do sieci | T+dni | Tunelowanie ruchu i skanowanie sieci wewnętrznej | Dostęp do serwerów firmy |
6. Kradzież | T+dni do tygodni | Wyprowadzenie danych (SOCRadar: co najmniej dwa takie przypadki w USA) | Wyciek danych firmy |
Mogę Ci jakoś pomóc?
Zapora jest punktem, przez który przechodzi cały ruch firmy, i miejscem, gdzie zapisane są dane dostępowe do VPN. Przejęcie zapory to najgorszy możliwy początek włamania, bo narzędzie ochrony staje się narzędziem napastnika. Ataki trwają, a według SOCRadar przestępcy skanują internet masowo.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub ponowna instalacja zapory, zmiana wszystkich haseł VPN, przerwy w pracy oddziałów | Dni | 30 tys. do 250 tys. PLN (przestój, prace ratunkowe) |
Bezpieczeństwo danych | Kradzież konfiguracji, danych logowania i danych z serwerów | Godziny do tygodni | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, możliwy szantaż po kradzieży danych, utracona sprzedaż | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Informowanie klientów i kontrahentów o wycieku | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla zapór FortiGate
z FortiOS bez poprawki ze stycznia 2026
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo chodzi o przejęcie zapory bez hasła; prawdopodobieństwo jest wysokie, ale nie maksymalne, bo Fortinet ocenia atak jako złożony, a zagrożone są interfejsy z włączonym dostępem „fabric”.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie urządzenia z FortiOS i FortiSwitchManager wraz z wersjami | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zaktualizować FortiOS do 7.6.4, 7.4.9, 7.2.12, 7.0.18 lub nowszej, a FortiSwitchManager do 7.2.7 lub 7.0.6 lub nowszej | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Do czasu aktualizacji usunąć dostęp „fabric” z interfejsów, na których nie jest potrzebny, zgodnie z biuletynem Fortinet | Dziś | Administrator sieci |
4 | 🔴 NATYCHMIAST | Sprawdzić zapory pod kątem śladów włamania, bo ataki trwają od co najmniej lipca 2026 | Do jutra | Administrator z zespołem bezpieczeństwa |
5 | 🟠 PILNIE | Jeśli są ślady włamania: zmienić hasła administratorów i VPN oraz klucze zapisane w konfiguracji | Do 3 dni | CTO |
6 | 🟠 PILNIE | Sprawdzić urządzenia przemysłowe z modułem Fortinet, np. Siemens RUGGEDCOM APE1808 | Do 7 dni | Kierownik utrzymania ruchu |
7 | 🟡 WAŻNIE | Wprowadzić stały przegląd biuletynów Fortinet i termin instalacji poprawek | Do 30 dni | Kierownik IT |
Fortinet wydał poprawki w styczniu 2026 roku, więc aktualizacja jest podstawowym działaniem. Obejście podane przez producenta to usunięcie dostępu „fabric” z interfejsów lub zablokowanie dostępu do usługi CAPWAP. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie dostępu „fabric” z każdego interfejsu (zalecenie Fortinet) | Wysoka | Łatwa, ale może wyłączyć zarządzanie punktami Wi-Fi i przełącznikami |
Zablokowanie dostępu do usługi CAPWAP z sieci niezaufanych | Wysoka dla ruchu z zewnątrz | Średnia |
Ograniczenie dostępu do interfejsów zarządzania tylko z zaufanych adresów | Średnia | Średnia |
Kontrola ruchu wychodzącego z samej zapory | Średnia: utrudnia pracę szpiega | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja FortiOS | Podatna, bez poprawki ze stycznia 2026 | Wersja z poprawką lub nowsza |
Dostęp „fabric” | Włączony także tam, gdzie niepotrzebny | Włączony tylko na niezbędnych interfejsach |
Wiedza o włamaniu | Brak | Zapora sprawdzona, wynik udokumentowany |
Hasła VPN i administratorów | Potencjalnie znane napastnikom | Zmienione, jeśli wykryto ślady |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CISA wymaga też triażu śledczego |
Grupy przestępcze | Według SOCRadar prawdopodobnie rosyjskojęzyczna grupa cyberprzestępcza, bez nazwy w dostępnych źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 (NVD), 8.1 (Fortinet w NVD, Siemens), 7.4 (rekord CVE Fortinet); wszystkie CVSS 3.1 |
PoC dostępny publicznie? | W styczniu 2026 brak publicznego PoC wg Arctic Wolf; obecnie brak potwierdzonych publicznych informacji |
Liczba atakowanych firm | Według SOCRadar: ponad 30 tys. adresów IP na celowniku, 178 zainfekowanych urządzeń, głównie w USA |
Narzędzie przestępców | Trojan PivotC2 przeznaczony dla zapór FortiGate, według SOCRadar prawdopodobnie napisany z pomocą AI |
Kampania PivotC2 wg SOCRadar
Adresy IP na celowniku > 30 000 ████████████████████
Zainfekowane urządzenia 178 █
Potwierdzone kradzieże 2 ▏ (USA)
Mogę Ci jakoś pomóc?
2025-02-05 Rezerwacja numeru CVE-2025-25249 przez Fortinet
2026-01-13 Fortinet publikuje biuletyn i poprawki, publikacja CVE
2026-07 Początek ataków z użyciem PivotC2 wg SOCRadar
2026-08-11 Siemens aktualizuje biuletyn dla RUGGEDCOM APE1808
2026-09-09 CISA dodaje lukę do katalogu KEV
2026-09-10 SecurityWeek opisuje kampanię PivotC2
2026-09-12 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Fortinet z wersjami i obejściem: FG-IR-25-084 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-25249 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę zapór Fortinet i ich wersji FortiOS | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację, także poza godzinami pracy | CTO | DZISIAJ |
3 | Potwierdzić wyłączenie zbędnego dostępu „fabric” | CTO | DZISIAJ |
4 | Zlecić sprawdzenie zapór pod kątem włamania | CTO | DO JUTRA |
5 | Zabezpieczyć budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
6 | Sprawdzić wymagania polisy cyberubezpieczenia dotyczące zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy zapór FortiGate i jakie wersje FortiOS na nich działają? | [liczba], [wersja] | 🔴 |
2 | Czy wszystkie zapory mają wersję z poprawką ze stycznia 2026 lub nowszą? | TAK / NIE | 🔴 |
3 | Na których interfejsach jest włączony dostęp „fabric”? | [lista] | 🔴 |
4 | Czy sprawdziliśmy zapory pod kątem śladów włamania? | TAK / NIE, [data] | 🔴 |
5 | Czy używamy FortiSwitchManager i w jakiej wersji? | TAK / NIE, [wersja] | 🟠 |
6 | Kiedy ostatnio zmieniano hasła administratorów zapory i kont VPN? | [data] | 🟠 |
7 | Czy mamy urządzenia przemysłowe z modułem Fortinet? | TAK / NIE | 🟡 |
CVE-2025-25249 pozwala przejąć zaporę Fortinet bez hasła, a CISA i SOCRadar potwierdzają trwające ataki z instalacją szpiegującego trojana. Poprawki są dostępne od stycznia 2026 roku, więc aktualizacja FortiOS to zadanie na dziś. Równie ważne jest sprawdzenie, czy zapora nie została przejęta wcześniej, bo sama aktualizacja nie usuwa zainstalowanego szpiega.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.