Błąd w FortiWeb pozwala wstrzyknąć polecenia systemowe, a w połączeniu z luką CVE-2025-64446 przejąć urządzenie bez konta. CISA potwierdza ataki i skróciła termin do 7 dni. Zaktualizuj i sprawdź konta administratorów.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią sklep internetowy, portal klienta lub inną aplikację zaporą Fortinet FortiWeb. Werdykt: jeśli FortiWeb nie ma wersji 8.0.2, 7.6.6, 7.4.11, 7.2.12 lub 7.0.12 (albo nowszej w swojej gałęzi), zaktualizuj go dziś i sprawdź, czy nie pojawiły się obce konta administratorów, bo luka jest wykorzystywana w atakach razem z drugą luką, która nie wymaga logowania.
Amerykańska agencja CISA 18 listopada 2025 roku dopisała podatność CVE-2025-58034 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Wyznaczyła przy tym skrócony termin naprawy: 7 dni zamiast zwyczajowych 21, uzasadniając to trwającymi atakami. Termin minął 25 listopada 2025 roku.
Błąd pozwala zalogowanemu użytkownikowi z wysokimi uprawnieniami wstrzyknąć polecenia systemu operacyjnego urządzenia, przez spreparowane zapytanie sieciowe albo wiersz poleceń. Sam w sobie wymaga więc konta. Problem w tym, że cztery dni wcześniej do KEV trafiła druga luka w FortiWeb, CVE-2025-64446, pozwalająca wykonywać polecenia administracyjne bez logowania. Według analizy źródłowej napastnicy łączyli obie: pierwsza daje wejście, druga wykonanie własnego kodu na urządzeniu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-58034 (biuletyn Fortinet FG-IR-25-513) |
Data dodania do CISA KEV | 2025-11-18 |
Termin naprawy wg CISA | 2025-11-25 (7 dni od wpisu, termin skrócony) |
Produkt | Fortinet FortiWeb (zapora aplikacji internetowych, sprzęt lub maszyna wirtualna) |
Wersje zagrożone | FortiWeb 8.0.0 do 8.0.1, 7.6.0 do 7.6.5, 7.4.0 do 7.4.10, 7.2.0 do 7.2.11, 7.0.0 do 7.0.11. Europejska baza ENISA podaje węższy zakres (7.4 tylko do 7.4.8, bez gałęzi 8.0); obowiązuje szerszy zakres z biuletynu producenta i NVD |
Wersje bezpieczne | 8.0.2, 7.6.6, 7.4.11, 7.2.12, 7.0.12 lub nowsze, każda w swojej gałęzi (bez konieczności przechodzenia na 8.0) |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego (OS Command Injection); CWE-78 |
Ocena CVSS | Fortinet (w NVD): 7.2 WYSOKA (CVSS 3.1); ENISA: 6.7 (z uwzględnieniem istniejącej poprawki i potwierdzonej wiedzy o luce). Atak przez sieć, wymaga logowania z wysokimi uprawnieniami, bez udziału użytkownika |
Wyobraź sobie hotel, w którym portier sprawdza każdego gościa przy wejściu. Za portierem jest recepcja, gdzie tylko kierownik zmiany może wydawać polecenia obsłudze. Pierwsza luka to boczne drzwi, przez które da się wejść bez pokazywania się portierowi i udawać kierownika. Druga luka to książka poleceń w recepcji, w której zamiast „przygotuj pokój 12” da się dopisać „i oddaj mi klucze do sejfu”, a obsługa wykona całość. Każda z osobna wygląda na „średni problem”. Razem dają obcemu pełną kontrolę nad hotelem.
FortiWeb to właśnie taki portier przed sklepem internetowym, systemem rezerwacji czy portalem klienta: odsiewa podejrzane zapytania. Stoi na styku z internetem i musi być widoczny z zewnątrz. W podatnych wersjach tekst podany przez zalogowanego użytkownika trafiał do polecenia systemowego bez sprawdzenia. Wystarczyło dopisać do zwykłej wartości znak kończący polecenie i własną komendę.
💡 Zapora aplikacyjna (WAF) to urządzenie filtrujące ruch do aplikacji internetowej. Wstrzyknięcie poleceń to błąd, w którym tekst od użytkownika zostaje wykonany jako polecenie systemu. Łańcuch luk to połączenie kilku błędów, z których każdy daje kolejny krok ataku. Interfejs zarządzania to panel administracyjny urządzenia; CISA ma osobną dyrektywę o takich panelach wystawionych do internetu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obcy bez konta łączy się z panelem FortiWeb | Musi się zalogować | W połączeniu z CVE-2025-64446 może działać jak administrator |
Administrator wpisuje wartość w konfiguracji | Zapisuje ustawienie | Dopisana komenda wykonuje się w systemie urządzenia |
Ruch do sklepu internetowego | Filtrowany przez zaporę | Napastnik kontroluje urządzenie, które filtruje ruch |
Konta administracyjne na urządzeniu | Tylko znane osoby | Mogą pojawić się konta napastnika |
Aktualizacja urządzenia | Zamyka lukę | Zamyka lukę, ale nie usuwa kont i zmian napastnika |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Sama CVE-2025-58034 wymaga zalogowania z wysokimi uprawnieniami, więc atak zaczyna się od zdobycia takiego dostępu: przez drugą lukę CVE-2025-64446, skradzione hasło lub panel zarządzania wystawiony do internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie urządzeń FortiWeb z panelem zarządzania dostępnym z internetu | Lista celów |
2. Uzyskanie uprawnień | T+kilka minut | Wykorzystanie CVE-2025-64446 (bez logowania) lub przejętego konta administratora | Sesja z wysokimi uprawnieniami |
3. Wykonanie kodu | T+kilka minut | Spreparowane zapytanie lub komenda wiersza poleceń z dopisanym poleceniem systemowym (CVE-2025-58034) | Własny kod na urządzeniu |
4. Utrwalenie | T+1 godz. | Założenie własnych kont administracyjnych, zmiany w konfiguracji | Dostęp przetrwa aktualizację |
5. Wykorzystanie pozycji | T+dni | Podgląd lub modyfikacja ruchu do aplikacji, wyłączenie reguł ochrony, rozpoznanie sieci za zaporą | Dostęp do danych klientów i systemów za zaporą |
6. Dalszy atak | T+tygodnie | Atak na serwery aplikacji, kradzież danych, przygotowanie szantażu | Wyciek, przestój, żądania okupu |
Zapora aplikacyjna stoi przed tym, co w firmie najcenniejsze w internecie: sklepem, portalem, systemem rezerwacji. Przejęcie urządzenia ochronnego jest gorsze niż jego brak, bo daje fałszywe poczucie bezpieczeństwa. A ocena „wymaga logowania” przestaje uspokajać, gdy obok istnieje luka, która logowanie omija.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Niedostępny sklep lub portal, odbudowa konfiguracji zapory | Godziny do dni | 20 tys. do 200 tys. PLN (przestój sprzedaży, praca IT) |
Bezpieczeństwo danych | Podgląd ruchu do aplikacji, wyciek danych klientów, dostęp do systemów za zaporą | Dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Utracona sprzedaż, koszty obsługi incydentu, możliwe oszustwa płatnicze | Tygodnie | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Klienci tracą zaufanie do sklepu lub portalu | Miesiące | 50 tys. do 500 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla FortiWeb bez poprawki
Wpływ
5 | . . . . ■ ← KRYTYCZNE: panel dostępny z internetu,
4 | . . . . . brak poprawek obu luk
3 | . . ■ . . ← ŚREDNIE: poprawka CVE-2025-64446,
2 | . . . . . panel tylko z sieci wewnętrznej
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: sama CVE-2025-58034 ma ocenę wysoką, ale nie krytyczną, bo wymaga logowania; w połączeniu z CVE-2025-64446 i panelem widocznym z internetu daje przejęcie urządzenia bez konta, co CISA uznała za powód do skrócenia terminu do 7 dni.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję FortiWeb w panelu urządzenia i porównać z listą wersji zagrożonych | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zaktualizować do 8.0.2, 7.6.6, 7.4.11, 7.2.12 lub 7.0.12 (albo nowszej) w swojej gałęzi | Dziś | Administrator sieci / partner IT |
3 | 🔴 NATYCHMIAST | Upewnić się w biuletynie FG-IR-25-910, że wybrana wersja zamyka też CVE-2025-64446 | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Przejrzeć listę kont administracyjnych, konfigurację i logi pod kątem zmian, których nikt z firmy nie wprowadzał | Do 3 dni | Administrator sieci / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wyłączyć dostęp HTTP i HTTPS do panelu zarządzania na interfejsach widocznych z internetu | Do 3 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Ustalić zasadę: łatki do tego samego urządzenia z tego samego okresu wgrywamy razem, niezależnie od oceny pojedynczej | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Dodać katalog CISA KEV jako źródło alarmów w narzędziach do zarządzania podatnościami | Do 30 dni | CTO |
Producent wydał poprawki we wszystkich gałęziach. Do czasu okna serwisowego CISA i producent wskazują obejście; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie HTTP/HTTPS panelu zarządzania na interfejsach widocznych z internetu | Średnia do wysokiej: CISA zaznacza, że ograniczenie dostępu do sieci wewnętrznej zmniejsza ryzyko, ale go nie usuwa | Łatwa |
Dostęp do panelu tylko z wydzielonej sieci administracyjnej lub przez VPN | Średnia do wysokiej | Średnia |
Przegląd i ograniczenie kont z wysokimi uprawnieniami, silne hasła i MFA | Średnia: utrudnia drugi krok, gdy napastnik nie ma CVE-2025-64446 | Łatwa |
Monitorowanie logów pod kątem nowych kont i zmian konfiguracji | Niska jako ochrona, wysoka do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja FortiWeb | W zakresie podatnym | Wersja z poprawką w swojej gałęzi |
Panel zarządzania | Dostępny z internetu | Tylko z sieci administracyjnej |
Konta administracyjne | Niesprawdzone | Przejrzane, obce usunięte |
Podejście do łatek | Wybór po ocenie pojedynczej luki | Łatki tego samego urządzenia wgrywane razem |
Źródło alarmów | Wskaźniki statystyczne | Katalog KEV i biuletyny producenta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, termin skrócony do 7 dni z powodu trwających ataków) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.2 WYSOKA (CVSS 3.1, Fortinet); 6.7 wg ENISA |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązana luka | CVE-2025-64446 (FortiWeb, obejście ścieżki, polecenia administracyjne bez logowania), w KEV od 14 listopada 2025, termin 21 listopada 2025 |
Prognoza EPSS | Około 3,5% w dniu terminu CISA; dziewięć miesięcy później ponad 50%, górny 1% podatności (wg analizy źródłowej) |
Różnica w EPSS dobrze pokazuje, że wskaźniki statystyczne uczą się z opóźnieniem. Katalog KEV zareagował w dobę, wskaźnik potrzebował miesięcy.
Sygnały zagrożenia dla CVE-2025-58034
CVSS 3.1 (Fortinet) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS listopad 2025 ~3.5% █░░░░░░░░░░░░░░░░░░░
EPSS 2026 >50% ██████████░░░░░░░░░░ górny 1% luk
Łańcuch z CVE-2025-64446 TAK ████████████████████ bez logowania
CISA KEV (termin 7 dni) TAK ████████████████████ ataki potwierdzone 2025-11-14 CISA dodaje CVE-2025-64446 (FortiWeb, bez logowania) do KEV
2025-11-18 Publikacja CVE-2025-58034 i biuletynu FG-IR-25-513
2025-11-18 CISA dodaje CVE-2025-58034 do KEV z terminem 7 dni
2025-11-21 Termin CISA dla CVE-2025-64446
2025-11-25 Termin naprawy wg CISA dla CVE-2025-58034
... EPSS rośnie z około 3,5% do ponad 50%
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: FG-IR-25-513 . Biuletyn powiązanej luki: FG-IR-25-910 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-58034 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub dostawca hostingu) używa FortiWeb przed swoimi aplikacjami | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji FortiWeb i dacie ostatniej aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację, nawet poza oknem serwisowym | CTO | DZISIAJ |
4 | Zlecić przegląd kont administracyjnych i logów urządzenia od listopada 2025 roku | CTO | DO JUTRA |
5 | Zatwierdzić wyłączenie panelu zarządzania z internetu | CTO | DO JUTRA |
6 | Oszacować koszt dnia niedostępności sklepu lub portalu, by uzasadnić pilne okna serwisowe | CFO | DO JUTRA |
7 | Sprawdzić, czy narzędzie do zarządzania podatnościami, za które płacimy, korzysta z katalogu KEV | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest dokładna wersja naszego FortiWeb? | [wersja] | 🔴 |
2 | Czy wersja zamyka zarówno CVE-2025-58034, jak i CVE-2025-64446? | TAK / NIE | 🔴 |
3 | Czy panel zarządzania jest dostępny z internetu po HTTP lub HTTPS? | TAK / NIE | 🔴 |
4 | Czy na urządzeniu są konta administracyjne, których nikt nie rozpoznaje? | TAK / NIE | 🔴 |
5 | Czy w logach od listopada 2025 roku widać nieautoryzowane zmiany konfiguracji? | TAK / NIE | 🟠 |
6 | Kiedy ostatnio wgraliśmy aktualizację FortiWeb? | [data] | 🟠 |
7 | Na podstawie czego ustalamy kolejność łatek: ocena CVSS, EPSS czy katalog KEV? | [odpowiedź] | 🟡 |
CVE-2025-58034 pozwala wykonać polecenia systemowe na zaporze FortiWeb osobie z uprawnieniami administratora, a w połączeniu z luką CVE-2025-64446 także komuś bez konta. CISA potwierdziła ataki i dała na naprawę tylko 7 dni. Zadanie na dziś: aktualizacja do wersji z poprawką w swojej gałęzi, a zaraz potem przegląd kont i konfiguracji, bo aktualizacja nie usuwa dostępu, który napastnik mógł już sobie założyć.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.