Błąd w panelu FortiWeb pozwala bez logowania wykonywać polecenia administracyjne i zakładać konta administratora. CISA dała tylko 7 dni na naprawę. Zaktualizuj urządzenie i sprawdź listę kont.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią swoje strony, sklepy i aplikacje internetowe zaporą aplikacyjną Fortinet FortiWeb. Werdykt: jeśli FortiWeb nie ma wersji z poprawką dla swojej gałęzi, zaktualizuj go dziś i sprawdź, czy nie pojawiły się obce konta administratora, bo luka jest masowo wykorzystywana bez logowania.
Amerykańska agencja CISA 14 listopada 2025 roku dopisała do katalogu KEV podatność CVE-2025-64446 w Fortinet FortiWeb. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. CISA dała agencjom federalnym tylko 7 dni na naprawę zamiast standardowych trzech tygodni.
FortiWeb to zapora aplikacyjna (WAF), która stoi przed serwerami WWW i odsiewa złośliwe żądania. Błąd typu „przejście po ścieżce” w panelu zarządzania urządzenia pozwala napastnikowi bez logowania wykonywać polecenia administracyjne. W praktyce atakujący zakładali w ten sposób własne konta administratora. Urządzenie, które ma chronić firmę, staje się drogą wejścia.
Według Rapid7 i innych firm badawczych ataki trwały już od początku października 2025 roku, zanim ukazała się poprawka. Termin naprawy wyznaczony przez CISA minął 21 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-64446 (EUVD-2025-197613 w europejskiej bazie ENISA) |
Data dodania do CISA KEV | 2025-11-14 |
Termin naprawy wg CISA | 2025-11-21 (7 dni od wpisu) |
Produkt | Fortinet FortiWeb, zapora aplikacji internetowych (WAF) |
Wersje zagrożone | 8.0.0 do 8.0.1; 7.6.0 do 7.6.4; 7.4.0 do 7.4.9; 7.2.0 do 7.2.11; 7.0.0 do 7.0.11. Atak przez interfejs HTTP lub HTTPS panelu zarządzania |
Wersje bezpieczne | 8.0.2, 7.6.5, 7.4.10, 7.2.12, 7.0.12 lub nowsze w danej gałęzi. Porównuj numery tylko w obrębie własnej gałęzi |
Typ podatności | Względne przejście po ścieżce (producent: „pomylenie ścieżek w interfejsie graficznym”), prowadzące do wykonania poleceń administracyjnych bez logowania; CWE-23 |
Ocena CVSS | Producent: 9.8 KRYTYCZNA (CVSS 3.1, bazowo; NVD nie wystawiła własnej oceny). Rekord CVE i ENISA: 9.4 KRYTYCZNA z metrykami czasowymi (dojrzały kod ataku, oficjalna poprawka). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie ochroniarza przy wejściu do biurowca, który wpuszcza bez przepustki tylko do holu z recepcją. Na piętro zarządu trzeba mieć kartę. Ktoś odkrył, że jeśli powie „idę do holu, a potem dwa piętra wyżej”, ochroniarz słyszy tylko pierwsze słowo, uznaje, że chodzi o hol, i przepuszcza go bez karty prosto do gabinetu, w którym wydaje się polecenia całej ochronie.
Tak działał ten błąd. Panel zarządzania FortiWeb na podstawie ścieżki w adresie decydował, czy żądanie wymaga zalogowania. Odpowiednio zbudowana ścieżka z sekwencjami „katalog wyżej” była uznawana za niewymagającą logowania, a trafiała do funkcji administracyjnych. Napastnik mógł w ten sposób założyć własne konto administratora i przejąć urządzenie, przez które przechodzi cały ruch do firmowych aplikacji.
💡 WAF (Web Application Firewall) to zapora, która filtruje ruch do stron i aplikacji internetowych, blokując próby ataków. Przejście po ścieżce (path traversal) to sztuczka z adresem, która wyprowadza aplikację poza dozwolony obszar. Łańcuch ataku to połączenie kilku luk, z których każda sama wygląda mniej groźnie. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba wysyła żądanie do panelu FortiWeb | Musi się zalogować | Może wykonać polecenie administracyjne bez logowania |
Konta administratorów | Zakłada tylko dział IT | Napastnik zakłada własne konto |
Ruch do sklepu lub aplikacji | Filtrowany przez zaufane urządzenie | Przechodzi przez urządzenie kontrolowane przez obcych |
Aktualizacja oprogramowania | Zamyka problem | Zamyka lukę, ale założone wcześniej konto zostaje |
Druga luka CVE-2025-58034 | Wymaga zalogowania | Po obejściu logowania daje wykonanie kodu w systemie |
źródło: wygenerowane przez AIPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dostępu do interfejsu zarządzania FortiWeb przez HTTP lub HTTPS, dlatego najbardziej zagrożone są urządzenia z panelem dostępnym z internetu. CISA ocenia atak jako możliwy do zautomatyzowania i dający całkowity skutek techniczny. Firmy badawcze opisywały automatyczne ładunki zakładające konta administratorów o nazwach takich jak „Testpoint” czy „trader”.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu paneli FortiWeb | Lista urządzeń do ataku |
2. Obejście logowania | T+kilka sekund | Wysłanie żądania ze spreparowaną ścieżką do funkcji administracyjnej | Wykonanie polecenia bez hasła |
3. Utrwalenie | T+kilka sekund | Założenie własnego konta administratora | Stały dostęp do urządzenia |
4. Eskalacja | T+minuty do godzin | Wykorzystanie drugiej luki CVE-2025-58034 do wykonania poleceń w systemie | Pełna kontrola nad urządzeniem |
5. Wykorzystanie pozycji | T+1 do 7 dni | Wyłączenie reguł ochrony, podgląd lub przekierowanie ruchu do aplikacji | Aplikacje firmy bez ochrony, możliwy wyciek danych |
6. Dalszy atak | T+tygodnie | Wejście do serwerów za zaporą, kradzież danych klientów | Wyciek, przestój, szantaż |
Mogę Ci jakoś pomóc?
FortiWeb stoi w najbardziej newralgicznym miejscu: między internetem a aplikacjami, na których firma zarabia. Przejęcie takiego urządzenia oznacza utratę ochrony i kontroli nad ruchem klientów. Luka nie wymaga hasła, jest automatycznie wykorzystywana, a do tego łączy się z drugą luką w pełny łańcuch.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączona ochrona aplikacji, niedostępny sklep lub portal, konieczność przebudowy konfiguracji | Godziny do dni | 30 tys. do 300 tys. PLN (przestój sprzedaży, prace serwisowe) |
Bezpieczeństwo danych | Podgląd ruchu z danymi logowania i danymi klientów, atak na serwery za zaporą | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utracona sprzedaż, koszty specjalistów, ewentualne nadużycia na kontach klientów | Tygodnie | 80 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli ich dane wyciekły ze sklepu lub portalu | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty i klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z FortiWeb bez poprawki
i panelem zarządzania dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo atak jest zautomatyzowany, nie wymaga logowania, był wykorzystywany jeszcze przed poprawką i daje kontrolę nad urządzeniem chroniącym aplikacje firmy; urządzenie zaktualizowane, z panelem niedostępnym z internetu i sprawdzoną listą kont jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję FortiWeb i porównać ją z progiem poprawki dla swojej gałęzi | Dziś | Administrator Fortinet |
2 | 🔴 NATYCHMIAST | Jeśli brak poprawki: wyłączyć HTTP i HTTPS panelu zarządzania na interfejsach dostępnych z internetu (obejście wskazane przez CISA) | Dziś | Administrator Fortinet |
3 | 🔴 NATYCHMIAST | Zaktualizować FortiWeb do wersji z poprawką, sprawdzając jednocześnie próg dla CVE-2025-58034 | Dziś | Administrator Fortinet / partner IT |
4 | 🔴 NATYCHMIAST | Przejrzeć listę kont administratorów i usunąć nieznane, zgodnie z zaleceniem CISA | Dziś | Administrator Fortinet |
5 | 🟠 PILNIE | Przejrzeć konfigurację i logi pod kątem nieoczekiwanych zmian od października 2025 roku | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zmienić hasła administratorów i sprawdzić serwery chronione przez FortiWeb | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Na stałe udostępniać panel zarządzania tylko z sieci wewnętrznej lub przez VPN | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich pięciu gałęzi, więc pełną naprawę daje tylko aktualizacja. CISA podkreśla, że obejście jest rozwiązaniem tymczasowym. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie HTTP i HTTPS panelu na interfejsach dostępnych z internetu (wskazane przez CISA) | Wysoka wobec ataków z internetu | Łatwa, ale utrudnia zarządzanie z zewnątrz |
Dostęp do panelu tylko z sieci wewnętrznej lub przez VPN | Wysoka | Średnia |
Codzienny przegląd listy administratorów i konfiguracji | Niska jako ochrona, kluczowa do wykrycia | Łatwa |
Alert na utworzenie nowego konta administratora | Niska jako ochrona, szybkie wykrycie | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Panel zarządzania | Dostępny z internetu, podatny na obejście logowania | Zaktualizowany, dostępny tylko wewnętrznie |
Konta administratorów | Możliwe obce konta | Sprawdzone, tylko znane osoby |
Łańcuch z CVE-2025-58034 | Możliwe wykonanie kodu bez logowania | Obie luki zamknięte |
Reguły ochrony aplikacji | Mogły zostać zmienione | Porównane z zatwierdzoną konfiguracją |
Zgodność z wymogami | Zaległość wobec terminu CISA z 21 listopada 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ataki opisywane od początku października 2025 roku, przed wydaniem poprawki |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg producenta (CVSS 3.1); 9.4 z metrykami czasowymi wg rekordu CVE i ENISA |
PoC dostępny publicznie? | TAK, NVD wskazuje publiczne repozytorium watchTowr Labs oznaczone jako kod ataku; metryka czasowa producenta: dojrzały kod ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | TAK (ocena CISA), skutek techniczny całkowity |
Powiązana luka | CVE-2025-58034 (wstrzyknięcie poleceń wymagające logowania), w KEV od 18 listopada 2025 roku; CISA opisała łańcuch obu luk jako nieuwierzytelnione wykonanie kodu |
Prognoza EPSS | Około 0,92, górne 0,2% wszystkich podatności (wg analizy źródłowej, sierpień 2026) |
Sygnały zagrożenia dla CVE-2025-64446
CVSS 3.1 (producent) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 czasowo 9.4/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~92% ██████████████████░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Termin CISA 7 dni ████████████████████ tryb skrócony
Mogę Ci jakoś pomóc?
2025-10 Pierwsze obserwowane ataki (m.in. pułapki firmy Defused)
2025-11-14 Biuletyn Fortinet FG-IR-25-910 i publikacja CVE
2025-11-14 CISA dodaje lukę do katalogu KEV
2025-11-18 CISA dodaje do KEV powiązaną lukę CVE-2025-58034
2025-11-21 Termin naprawy wg CISA dla agencji federalnych
2025-11-25 CISA aktualizuje alert o łańcuch obu luk
... ponad 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: fortiguard.com/psirt/FG-IR-25-910 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-64446 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca hostingu używa FortiWeb | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja, gałąź, dostępność panelu z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub wyłączenie panelu z internetu | CTO | DZISIAJ |
4 | Uzyskać potwierdzenie, że lista administratorów została sprawdzona | CTO | DZISIAJ |
5 | Zlecić przegląd konfiguracji i logów od października 2025 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja i gałąź FortiWeb działa na każdym urządzeniu? | [wersja] | 🔴 |
2 | Czy panel zarządzania FortiWeb jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowaliśmy wersję z poprawką dla CVE-2025-64446 i CVE-2025-58034? | [data] | 🔴 |
4 | Czy na liście administratorów są konta, których nikt nie zakładał? | TAK / NIE | 🔴 |
5 | Czy sprawdziliśmy konfigurację i logi pod kątem zmian od października 2025 roku? | TAK / NIE | 🟠 |
6 | Czy dostajemy alert przy utworzeniu nowego konta administratora? | TAK / NIE | 🟠 |
7 | Kto dostaje biuletyny Fortinet i w jakim czasie na nie reagujemy? | [osoba] | 🟡 |
CVE-2025-64446 pozwala bez logowania wykonywać polecenia administracyjne na zaporze Fortinet FortiWeb, w tym zakładać własne konta administratora, a w połączeniu z CVE-2025-58034 uruchomić kod w systemie. Ataki trwały już przed poprawką, a CISA dała tylko tydzień na naprawę, więc aktualizacja i sprawdzenie kont administratorów to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.