Spreparowane ciasteczko w zapytaniu HTTP pozwala bez hasła przejąć bramę pocztową, centralę telefoniczną, rejestrator lub kamery Fortinet. Luka była wykorzystana jako zero-day. Zaktualizuj urządzenia i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które używają urządzeń Fortinet: bramy pocztowej FortiMail, centrali telefonicznej FortiVoice, systemu FortiNDR, rejestratora FortiRecorder lub kamer FortiCamera. Werdykt: jeśli którekolwiek z nich działa na wersji bez poprawki z maja 2025, zaktualizuj je NATYCHMIAST i sprawdź ślady włamania, bo luka pozwala przejąć urządzenie bez hasła i była wykorzystywana jako zero-day.
Amerykańska agencja CISA 14 maja 2025 roku dopisała podatność CVE-2025-32756 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To przepełnienie bufora na stosie we wspólnym kodzie panelu administracyjnego kilku produktów Fortinet. Zapytanie HTTP ze spreparowanym ciasteczkiem (hash cookie) pozwala napastnikowi bez konta wykonać dowolny kod lub polecenia na urządzeniu.
Fortinet wykrył lukę na podstawie realnych ataków na centrale FortiVoice: napastnicy skanowali sieć, kasowali logi awarii, włączali tryb „fcgi debugging”, by przechwytywać hasła, instalowali złośliwe oprogramowanie i zadania cron zbierające poświadczenia. Termin naprawy wg CISA minął 4 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-32756 (biuletyn Fortinet FG-IR-25-254) |
Data dodania do CISA KEV | 2025-05-14 |
Termin naprawy wg CISA | 2025-06-04 (21 dni od wpisu) |
Produkt | Fortinet FortiMail, FortiVoice, FortiNDR, FortiRecorder, FortiCamera (opis CISA wymienia też FortiFone) |
Wersje zagrożone | FortiMail 7.0.0 do 7.0.8, 7.2.0 do 7.2.7, 7.4.0 do 7.4.4, 7.6.0 do 7.6.2. FortiVoice 6.4.0 do 6.4.10, 7.0.0 do 7.0.6, 7.2.0. FortiNDR 1.1 do 1.5, 7.0.0 do 7.0.6, 7.1.0 do 7.1.1, 7.2.0 do 7.2.4, 7.4.0 do 7.4.7, 7.6.0. FortiRecorder 6.4.0 do 6.4.5, 7.0.0 do 7.0.5, 7.2.0 do 7.2.3. FortiCamera 1.1 (wszystkie), 2.0 (wszystkie), 2.1.0 do 2.1.3 |
Wersje bezpieczne | FortiMail 7.0.9, 7.2.8, 7.4.5, 7.6.3. FortiVoice 6.4.11, 7.0.7, 7.2.1. FortiNDR 7.0.7, 7.2.5, 7.4.8, 7.6.1 (dla 1.x i 7.1 przejście na gałąź z poprawką). FortiRecorder 6.4.6, 7.0.6, 7.2.4. FortiCamera 2.1.4 (dla 1.1 i 2.0 przejście na 2.1.4). Wszystkie nowsze wydania również |
Typ podatności | Przepełnienie bufora na stosie; Fortinet: CWE-121, NVD: CWE-787, CISA: CWE-124 |
Ocena CVSS | Fortinet i NVD: 9.8 (CVSS 3.1, KRYTYCZNA). Europejski rekord CVE: 9.6 (ocena uzupełniona o istnienie działającego exploita). Atak przez sieć, niska złożoność, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie formularz z dziesięcioma kratkami na numer telefonu, który wypełnia recepcjonistka, nie patrząc, ile cyfr podał rozmówca. Jeśli ktoś poda trzydzieści cyfr, recepcjonistka pisze dalej, poza kratkami, na polu „dalsze instrukcje dla kierownika”. Kierownik wykonuje to, co tam przeczyta. Sprytny rozmówca układa „cyfry” tak, by w tym polu pojawiło się jego polecenie.
Tak działa ta luka. Panel administracyjny urządzeń Fortinet przyjmuje ciasteczko uwierzytelniające i kopiuje je do obszaru pamięci o stałym rozmiarze, nie sprawdzając długości. Zbyt długie, spreparowane ciasteczko nadpisuje dane sterujące programem, a napastnik przejmuje kontrolę nad urządzeniem. Ponieważ ten sam kod panelu działa w pięciu liniach produktów, jedna usterka dotyczy poczty, telefonii, monitoringu i systemu wykrywania zagrożeń naraz.
💡 Przepełnienie bufora to zapis większej ilości danych, niż przewidziano miejsca, który nadpisuje sąsiednie dane programu. Ciasteczko (cookie) to mały fragment danych, dzięki któremu urządzenie rozpoznaje zalogowaną osobę. Zero-day to luka wykorzystywana, zanim producent wydał poprawkę. Panel administracyjny to strona WWW do zarządzania urządzeniem. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obcy wysyła zapytanie do panelu urządzenia | Musi się zalogować | Wykonuje kod bez logowania |
Centrala telefoniczna FortiVoice | Obsługuje rozmowy | Może być użyta do podsłuchu i kradzieży haseł |
Brama pocztowa FortiMail | Filtruje korespondencję | Daje wgląd w pocztę firmy |
Rejestrator i kamery | Nagrywają monitoring | Nagrania dostępne dla napastnika |
Ślady ataku | Logi awarii i ustawienia bez zmian | Skasowane logi awarii, włączony „fcgi debugging” |
źródło: Pexels, Andy BarbourPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na działaniach opisanych przez Fortinet. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Wystarczy sieciowy dostęp do panelu administracyjnego urządzenia, bez konta. CISA ocenia atak jako możliwy do zautomatyzowania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie w internecie paneli FortiVoice, FortiMail i pozostałych produktów | Lista celów |
2. Przejęcie | T+minuty | Zapytanie HTTP ze spreparowanym ciasteczkiem | Kod napastnika działa na urządzeniu |
3. Zacieranie śladów | T+minuty | Kasowanie logów awarii | Brak oczywistych śladów |
4. Kradzież haseł | T+godziny | Włączenie „fcgi debugging” i zadań cron zbierających poświadczenia z logowań i SSH | Hasła administratorów i użytkowników |
5. Rozpoznanie sieci | T+dni | Skrypty skanujące sieć wewnętrzną z przejętego urządzenia | Mapa sieci firmy |
6. Skutek dla firmy | T+dni do tygodni | Podsłuch rozmów, wgląd w pocztę i nagrania, dalsze włamania | Wyciek danych, utrata kontroli |
Centrale, bramy pocztowe i rejestratory rzadko traktuje się jak komputery, więc rzadko się je aktualizuje. Ta luka jest krytyczna, nie wymaga logowania, była wykorzystywana jako zero-day, a prognoza EPSS około 30% plasuje ją wśród 2% najbardziej zagrożonych podatności.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przerwy w telefonii i poczcie, odtwarzanie urządzeń, wymiana haseł | Dni | 30 tys. do 300 tys. PLN (przestój, prace serwisowe) |
Bezpieczeństwo danych | Podsłuch rozmów, dostęp do poczty i nagrań, kradzież haseł | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, oszustwa z użyciem przejętej korespondencji | Tygodnie | 80 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i pacjentów, których rozmowy lub dane wyciekły | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie do UODO w 72 godziny i ewentualne powiadomienie osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z urządzeniami Fortinet
bez poprawki z maja 2025 i panelem dostępnym z sieci
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo luka daje pełną kontrolę nad urządzeniem bez logowania, atak jest zautomatyzowany i potwierdzony; jeśli panele administracyjne są dostępne wyłącznie z wydzielonej sieci zarządzania, prawdopodobieństwo spada, ale aktualizacja nadal jest konieczna.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie urządzenia Fortinet (FortiMail, FortiVoice, FortiNDR, FortiRecorder, FortiCamera) z wersjami, także te obsługiwane przez wykonawców | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy panel administracyjny HTTP/HTTPS któregoś z nich jest dostępny z internetu, i zablokować ten dostęp | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować każde urządzenie do wersji z poprawką dla swojej gałęzi | Dziś do 2 dni | Administrator IT / partner Fortinet |
4 | 🟠 PILNIE | Sprawdzić ślady włamania: poleceniem diag debug application fcgi (wynik „general to-file ENABLED” oznacza sygnał alarmowy), skasowane logi awarii, nieznane zadania cron i skrypty | Do 2 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić logi pod kątem połączeń z adresami podanymi przez Fortinet w biuletynie | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Po aktualizacji zmienić hasła administratorów i kont, które logowały się do urządzeń | Do 3 dni | Administrator IT |
7 | 🟡 WAŻNIE | Prowadzić spis sprzętu według producenta, by przy każdym biuletynie od razu znać wszystkie jego urządzenia w firmie | Do 30 dni | CTO |
Fortinet wydał poprawki dla wszystkich wspieranych gałęzi w maju 2025 roku. Dla urządzeń, których nie da się od razu zaktualizować, producent zaleca wyłączenie interfejsu administracyjnego HTTP/HTTPS. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie interfejsu administracyjnego HTTP/HTTPS (zalecenie Fortinet) | Wysoka: usuwa drogę ataku | Średnia: administracja tylko przez inne kanały |
Dostęp do paneli wyłącznie z wydzielonej sieci zarządzania lub VPN | Wysoka wobec skanowania z internetu | Średnia |
Blokada adresów IP napastników wskazanych przez Fortinet | Niska: napastnicy łatwo zmieniają adresy | Łatwa |
Regularne sprawdzanie ustawienia fcgi debugging i logów | Niska jako ochrona, ważna dla wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersje urządzeń Fortinet | Nieznane, część bez poprawki | Wszystkie na wersjach z poprawką |
Panele administracyjne | Potencjalnie dostępne z internetu | Tylko z sieci zarządzania |
Wiedza o włamaniu | Brak | Sprawdzone fcgi debugging, logi i zadania cron |
Hasła administratorów | Mogły zostać przechwycone | Zmienione |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed ponad roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Fortinet wykrył lukę na podstawie ataków na FortiVoice (zero-day) |
Grupy przestępcze | Brak publicznie wskazanej grupy; Fortinet opublikował adresy IP, z których prowadzono ataki |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg Fortinet i NVD (CVSS 3.1); 9.6 w rekordzie CVE z uwzględnieniem działającego exploita |
PoC dostępny publicznie? | Rekord CVE oznacza dojrzałość exploita jako „funkcjonalny”; brak informacji o publicznym kodzie w źródłach tego alertu |
Liczba atakowanych firm | Brak publicznych danych |
Automatyzacja ataku | CISA: możliwa; skutek techniczny całkowity |
Prognoza EPSS | Ok. 30% szansy próby wykorzystania w 30 dni, percentyl 98 (wg analizy źródłowej) |
Porady krajowe | Niemcy i Holandia, 13 i 14 maja 2025 |
Sygnały zagrożenia dla CVE-2025-32756
CVSS 3.1 (Fortinet) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~30% ██████░░░░░░░░░░░░░░ percentyl 98
CISA KEV TAK ████████████████████ ataki potwierdzone
Zero-day (Fortinet) TAK ████████████████████ ataki na FortiVoice
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe 2025 (przed 13.05) Ataki na centrale FortiVoice jako zero-day
2025-05-13 Fortinet publikuje biuletyn FG-IR-25-254 z poprawkami
i wskaźnikami włamania, publikacja CVE w NVD,
biuletyn niemieckiego zespołu reagowania
2025-05-14 CISA dodaje lukę do KEV; biuletyn holenderskiego NCSC
2025-05-15 CISA ocenia atak jako aktywny i zautomatyzowany
2025-06-04 Termin naprawy wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami, obejściem i wskaźnikami włamania: Fortinet FG-IR-25-254 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-32756 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, jakie urządzenia Fortinet ma firma i kto nimi zarządza | CTO | DZISIAJ |
2 | Uzyskać od każdego wykonawcy wersję urządzeń i informację o dostępności panelu z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację wszystkich urządzeń Fortinet | CTO | DZISIAJ |
4 | Zlecić sprawdzenie wskaźników włamania z biuletynu Fortinet | CTO | DO JUTRA |
5 | Zlecić wymianę haseł administratorów po aktualizacji | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli wskaźniki coś wykażą | CFO | DO JUTRA |
7 | Sprawdzić w umowach z wykonawcami, kto odpowiada za aktualizacje centrali, poczty i monitoringu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie urządzenia Fortinet mamy i w jakich wersjach? | [lista], [wersje] | 🔴 |
2 | Czy panel administracyjny któregoś z nich jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy wszystkie urządzenia mają wersję z poprawką z maja 2025 lub nowszą? | TAK / NIE | 🔴 |
4 | Co pokazuje polecenie diag debug application fcgi na każdym urządzeniu? | [wynik] | 🟠 |
5 | Czy w logach są połączenia z adresami wskazanymi przez Fortinet lub skasowane logi awarii? | TAK / NIE | 🟠 |
6 | Czy po aktualizacji zmieniliśmy hasła administratorów? | TAK / NIE, data: [data] | 🟠 |
7 | Czy mamy kamery FortiCamera w gałęzi 1.1 lub 2.0 wymagające przejścia na 2.1.4? | TAK / NIE | 🟡 |
CVE-2025-32756 pozwala bez hasła przejąć urządzenia Fortinet FortiMail, FortiVoice, FortiNDR, FortiRecorder i FortiCamera przez spreparowane zapytanie do panelu administracyjnego; luka była wykorzystywana jako zero-day do kradzieży haseł. Zadanie na dziś to spisać wszystkie urządzenia Fortinet, ukryć ich panele przed internetem i zaktualizować je, a w tym tygodniu sprawdzić wskaźniki włamania i zmienić hasła.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.