Podrobiona odpowiedź SAML przy FortiCloud SSO daje prawa administratora FortiOS, FortiProxy, FortiSwitchManager i FortiWeb. Ataki trwają od grudnia 2025. Wyłącz FortiCloud SSO i zaktualizuj.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią sieć zaporami FortiGate lub korzystają z FortiProxy, FortiSwitchManager albo FortiWeb. Werdykt: jeśli urządzenie ma wersję bez poprawki z biuletynu FG-IR-25-647 i włączone logowanie administratora przez FortiCloud SSO, dziś wyłącz tę opcję i zaktualizuj urządzenie, bo luka pozwala wejść do panelu administracyjnego bez hasła, a ataki trwają od grudnia 2025 roku.
Amerykańska agencja CISA 16 grudnia 2025 roku dopisała podatność CVE-2025-59718 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Urządzenia Fortinet niepoprawnie sprawdzały podpis cyfrowy w odpowiedzi logowania SAML przy logowaniu przez FortiCloud SSO. Napastnik przygotowuje własne „potwierdzenie logowania” i wchodzi do panelu jako administrator, bez konta i hasła.
CISA wyznaczyła wyjątkowo krótki termin naprawy: 7 dni, do 23 grudnia 2025 roku. Ten sam problem w FortiWeb opisuje osobny numer CVE-2025-59719, z tego samego biuletynu producenta, i CISA wprost przypomina, by zainstalować wszystkie poprawki z biuletynu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-59718 (oraz bliźniacza CVE-2025-59719 dla FortiWeb; biuletyn Fortinet FG-IR-25-647) |
Data dodania do CISA KEV | 2025-12-16 |
Termin naprawy wg CISA | 2025-12-23 (7 dni od wpisu) |
Produkt | Fortinet FortiOS (zapory FortiGate), FortiProxy, FortiSwitchManager, FortiWeb; także urządzenia przemysłowe Siemens RUGGEDCOM APE1808 z oprogramowaniem Fortinet |
Wersje zagrożone | FortiOS 7.0.0 do 7.0.17, 7.2.0 do 7.2.11, 7.4.0 do 7.4.8, 7.6.0 do 7.6.3; FortiProxy 7.0.0 do 7.0.21, 7.2.0 do 7.2.14, 7.4.0 do 7.4.10, 7.6.0 do 7.6.3; FortiSwitchManager 7.0.0 do 7.0.5, 7.2.0 do 7.2.6; FortiWeb 7.4.0 do 7.4.9, 7.6.0 do 7.6.4, 8.0.0. Atak wymaga włączonego logowania administratora przez FortiCloud SSO: fabrycznie wyłączone, ale włącza się przy rejestracji urządzenia w FortiCare przez panel, jeśli administrator nie odznaczy tej opcji |
Wersje bezpieczne | FortiOS 7.0.18, 7.2.12, 7.4.9, 7.6.4 lub nowsze; FortiProxy 7.0.22, 7.2.15, 7.4.11, 7.6.4 lub nowsze; FortiSwitchManager 7.0.6, 7.2.7 lub nowsze; FortiWeb 7.4.10, 7.6.5, 8.0.1 lub nowsze. Niepodatne: FortiOS 6.4, FortiWeb 7.0 i 7.2 |
Typ podatności | Obejście uwierzytelnienia przez niepoprawną weryfikację podpisu kryptograficznego; CWE-347 |
Ocena CVSS | 9.8/10 (CVSS 3.1, KRYTYCZNA, ocena Fortinet w NVD; ta sama ocena dla CVE-2025-59719). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie firmę, w której portier nie sprawdza gości sam, tylko wpuszcza każdego z przepustką wystawioną przez centralne biuro przepustek. Przepustka ma pieczątkę i podpis biura. Problem: portier patrzy, czy pieczątka jest, ale nigdy nie porównuje jej z wzorem na ścianie. Kto narysuje własną pieczątkę i wpisze „dyrektor, pełny dostęp”, wchodzi do gabinetu zarządu.
Tak działa ta luka. Przy logowaniu przez FortiCloud SSO urządzenie Fortinet dostaje od usługi tożsamości dokument SAML: „to jest administrator, ma prawo wejść”. Urządzenie powinno sprawdzić podpis tego dokumentu, ale robiło to niepoprawnie. Napastnik pisze własny dokument i dostaje panel zapory z pełnymi uprawnieniami. Logowanie dwuskładnikowe nic tu nie daje, bo napastnik nie przechodzi przez ekran logowania, tylko podrabia potwierdzenie, że logowanie już się udało.
💡 SSO (logowanie jednokrotne) to jedno konto w usłudze tożsamości zamiast osobnych haseł w każdym urządzeniu. SAML to standard, według którego usługa tożsamości wystawia podpisane „przepustki”. FortiCloud SSO to logowanie administratora do urządzenia Fortinet kontem w chmurze producenta. Podpis kryptograficzny to matematyczne potwierdzenie, że dokument wystawił właściwy nadawca. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba próbuje wejść do panelu zapory | Musi znać hasło i drugi składnik | Wchodzi z podrobionym potwierdzeniem SAML |
Logowanie dwuskładnikowe (MFA) | Chroni przed skradzionym hasłem | Nie pomaga, etap logowania jest pomijany |
Log urządzenia | Nieudane próby są widoczne | Widać „udane logowanie administratora przez SSO” |
Zmiana hasła administratora | Odcina napastnika | Sama nie blokuje ataku, hasło nie jest potrzebne |
Urządzenie z wyłączonym FortiCloud SSO | Bezpieczne wobec tej ścieżki | Bezpieczne wobec tej ścieżki |
źródło: Pexels, Cytonn PhotographyPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z obserwacjami firmy Arctic Wolf z grudnia 2025 roku. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak idzie przez internet, nie wymaga konta ani udziału użytkownika, ale udaje się tylko na urządzeniu z włączonym logowaniem administratora przez FortiCloud SSO. CISA ocenia, że da się go zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie w internecie paneli urządzeń Fortinet | Lista potencjalnych celów |
2. Podrobienie przepustki | T+kilka minut | Wysłanie spreparowanej odpowiedzi SAML do logowania FortiCloud SSO | Logowanie jako „admin” z profilem super_admin |
3. Kradzież konfiguracji | T+kilka minut | Pobranie pliku konfiguracji urządzenia przez panel (obserwowane przez Arctic Wolf) | Reguły sieci, konta VPN, skróty haseł u napastnika |
4. Utrwalenie | T+godziny | Dodanie własnego konta administratora lub konta VPN | Stałe wejście niezależne od poprawki |
5. Łamanie haseł | T+dni | Łamanie offline skrótów haseł z konfiguracji | Hasła do VPN i innych systemów |
6. Wejście do sieci | T+dni do tygodni | Logowanie do VPN i dalszy atak na serwery | Kradzież danych lub ransomware |
Zapora to strażnik całej sieci. Kto ma w niej prawa administratora, może zmienić reguły ruchu, dodać dostęp zdalny i poznać układ całej sieci, bez żadnej awarii i bez alarmu. Szczególnie groźne jest to, że w logach atak wygląda jak zwykłe, udane logowanie administratora.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zmienione reguły zapory, przerwy w pracy sieci i VPN przy odtwarzaniu konfiguracji | Godziny do dni | 20 tys. do 150 tys. PLN (odtworzenie konfiguracji, przestój) |
Bezpieczeństwo danych | Kradzież konfiguracji, haseł VPN, dostęp do sieci wewnętrznej | Minuty od wejścia | 30 tys. do 250 tys. PLN (analiza powłamaniowa, wymiana haseł i certyfikatów) |
Finansowy | Koszty incydentu, możliwy okup po dalszym ataku | Dni do tygodni | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania od ubezpieczyciela | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli doszło do dostępu do danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzenia Fortinet bez poprawki
z włączonym FortiCloud SSO
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy włączonym FortiCloud SSO ryzyko jest krytyczne (pełne prawa administratora zapory bez hasła, zautomatyzowane ataki od grudnia 2025 roku); urządzenie z wyłączoną tą opcją nie jest narażone na tę ścieżkę ataku, ale i tak wymaga aktualizacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie urządzenia Fortinet (FortiGate, FortiProxy, FortiSwitchManager, FortiWeb) i sprawdzić ich wersje | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Sprawdzić i wyłączyć opcję „Allow administrative login using FortiCloud SSO” (System, Settings) na urządzeniach bez poprawki | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Przejrzeć logi pod kątem udanych logowań administratora metodą SSO z nieznanych adresów i pobrań pliku konfiguracji | Dziś | Administrator sieci / zespół bezpieczeństwa |
4 | 🟠 PILNIE | Zaktualizować wszystkie urządzenia do wersji z poprawką, zgodnie z całym biuletynem FG-IR-25-647 (także FortiWeb) | Do 3 dni | Administrator sieci / partner IT |
5 | 🟠 PILNIE | Jeśli logi wskazują na wejście: usunąć nieznane konta, zmienić hasła administratorów i kont VPN, wymienić klucze i certyfikaty z konfiguracji | Do 3 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Ograniczyć dostęp do paneli administracyjnych do zaufanych adresów sieci wewnętrznej | Do 30 dni | CTO / administrator sieci |
7 | 🟡 WAŻNIE | Zapytać dostawców sprzętu przemysłowego (np. Siemens RUGGEDCOM), czy ich urządzenia używają oprogramowania Fortinet i czy mają poprawkę | Do 30 dni | Kierownik utrzymania ruchu |
Producent wydał poprawki dla wszystkich podatnych gałęzi, więc docelowo trzeba je zainstalować. Do czasu aktualizacji Fortinet zaleca wyłączenie logowania przez FortiCloud SSO. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie logowania administratora przez FortiCloud SSO (zalecenie producenta; w CLI: | Wysoka: usuwa warunek ataku | Łatwa, administratorzy logują się lokalnym kontem |
Dostęp do panelu administracyjnego tylko z zaufanych adresów wewnętrznych | Wysoka wobec ataków z internetu | Średnia: wymaga zmiany sposobu pracy zewnętrznego serwisu |
Alert na każde logowanie administratora metodą SSO | Niska jako ochrona, przydatna do wykrycia | Łatwa przy centralnych logach |
Sama zmiana hasła administratora | Niska: nie blokuje ataku, ma sens dopiero po wykryciu kradzieży konfiguracji | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Panel zapory | Dostępny bez hasła przy włączonym FortiCloud SSO | Wymaga prawidłowego logowania |
Zakres łatania | Tylko numer z katalogu CISA | Cały biuletyn, łącznie z FortiWeb |
Konta administracyjne | Mogą istnieć konta napastnika | Przejrzane, nieznane usunięte |
Dostęp do panelu z internetu | Często otwarty | Ograniczony do zaufanych adresów |
Zgodność z terminem CISA | Zaległość sprzed prawie 9 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Arctic Wolf od 12 grudnia 2025 roku obserwował złośliwe logowania SSO na FortiGate i pobieranie konfiguracji |
Grupy przestępcze | Brak publicznych informacji o konkretnej grupie; logowania pochodziły z adresów kilku firm hostingowych (wg Arctic Wolf) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8/10 KRYTYCZNA (CVSS 3.1, Fortinet w NVD) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Wg CISA możliwa |
Bliźniacza luka | CVE-2025-59719 w FortiWeb, ta sama przyczyna i ocena, bez osobnego wpisu w KEV |
Uwaga dla działu IT: katalog CISA wymienia FortiWeb wśród objętych produktów, a opis CVE-2025-59718 w NVD tylko trzy pozostałe. Bezpieczniej przyjąć szerszą listę i sprawdzić wszystkie urządzenia Fortinet.
Sygnały zagrożenia dla CVE-2025-59718
CVSS 3.1 (Fortinet) 9.8/10 ████████████████████ KRYTYCZNA
Termin CISA 7 dni ████████████████████ wyjątkowo krótki
CISA KEV TAK ████████████████████ ataki potwierdzone
Obserwacje ataków TAK ████████████████████ Arctic Wolf, 12.12.2025
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-12-09 Fortinet publikuje biuletyn FG-IR-25-647, publikacja CVE w NVD
2025-12-12 Arctic Wolf obserwuje pierwsze złośliwe logowania SSO na FortiGate
2025-12-15 Arctic Wolf publikuje ostrzeżenie z adresami napastników
2025-12-16 CISA dodaje lukę do katalogu KEV
2025-12-23 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: fortiguard.fortinet.com/psirt/FG-IR-25-647 . Narzędzie ścieżki aktualizacji FortiGate: docs.fortinet.com/upgrade-tool/fortigate . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-59718 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, jakie urządzenia Fortinet działają w firmie i u partnera IT | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie, że FortiCloud SSO jest wyłączone lub urządzenia są zaktualizowane | CTO | DZISIAJ |
3 | Zlecić przegląd logów logowań administratorów od grudnia 2025 roku | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację wszystkich produktów z biuletynu | CTO | DO JUTRA |
5 | Ustalić, czy sprzęt przemysłowy w firmie zawiera oprogramowanie Fortinet | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli logi coś wykażą | CFO | DO JUTRA |
7 | Sprawdzić obowiązki zgłoszenia incydentu w polisie cyberubezpieczenia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie wersje FortiOS, FortiProxy, FortiSwitchManager i FortiWeb mamy? | [wersja] | 🔴 |
2 | Czy na którymkolwiek urządzeniu było włączone logowanie przez FortiCloud SSO? | TAK / NIE | 🔴 |
3 | Czy w logach są udane logowania administratora metodą SSO z nieznanych adresów? | TAK / NIE | 🔴 |
4 | Czy ktoś pobierał plik konfiguracji urządzenia bez naszej wiedzy? | TAK / NIE | 🔴 |
5 | Kiedy wszystkie urządzenia zaktualizowano zgodnie z całym biuletynem? | [data] | 🟠 |
6 | Czy panel administracyjny jest dostępny z internetu? | TAK / NIE | 🟠 |
7 | Czy lista kont administratorów i VPN jest zgodna z listą pracowników? | TAK / NIE | 🟡 |
CVE-2025-59718 pozwala wejść do panelu administracyjnego urządzeń Fortinet bez hasła, przez podrobione potwierdzenie logowania FortiCloud SSO, a MFA przed tym nie chroni. Ataki trwają od grudnia 2025 roku, poprawki są dostępne, więc dziś wyłącz FortiCloud SSO tam, gdzie brak poprawki, przejrzyj logi i zaktualizuj wszystkie produkty z biuletynu, łącznie z FortiWeb.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.