Zapora aplikacji FortiWeb, która ma blokować wstrzyknięcia SQL, sama jest na nie podatna bez logowania. Gotowy kod ataku jest publiczny, a prognoza wykorzystania bliska pewności. Zaktualizuj do wersji z poprawką dla swojej gałęzi natychmiast.
Ten alert jest dla zarządu, CTO i CFO firm, które używają zapory aplikacji internetowych Fortinet FortiWeb przed sklepem, portalem klienta lub systemem zamówień. Werdykt: jeśli FortiWeb ma wersję sprzed poprawki (7.0.11, 7.2.11, 7.4.8 lub 7.6.4), zaktualizuj go natychmiast, nie czekając na weekend, bo gotowy kod ataku jest publiczny, luka nie wymaga logowania, a prognoza wykorzystania jest bliska pewności.
Amerykańska agencja CISA 18 lipca 2025 roku dopisała podatność CVE-2025-25257 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy FortiWeb, zapory aplikacji internetowych Fortinet, która ma między innymi blokować wstrzyknięcia SQL, a sama okazała się na nie podatna. Napastnik bez konta i hasła może wysłać spreparowane żądanie HTTP i wykonać polecenia w bazie danych urządzenia, co prowadzi do przejęcia sprzętu.
Gotowy kod ataku jest publiczny (Exploit-DB, Packet Storm, GitHub), a badacz opisał, jak z wstrzyknięcia SQL uzyskać zdalne wykonanie kodu. Termin naprawy wyznaczony przez CISA minął 8 sierpnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-25257 (biuletyn Fortinet FG-IR-25-151) |
Data dodania do CISA KEV | 2025-07-18 |
Termin naprawy wg CISA | 2025-08-08 |
Produkt | Fortinet FortiWeb (zapora aplikacji internetowych, WAF) |
Wersje zagrożone | 7.0.0 do 7.0.10, 7.2.0 do 7.2.10, 7.4.0 do 7.4.7, 7.6.0 do 7.6.3 |
Wersje bezpieczne | 7.0.11, 7.2.11, 7.4.8, 7.6.4 i nowsze w danej gałęzi. Uwaga: 7.6.3 jest podatna, choć numerem wyższa niż naprawiona 7.4.8, więc porównuj wersje wewnątrz swojej gałęzi |
Typ podatności | Wstrzyknięcie SQL bez uwierzytelnienia prowadzące do wykonania kodu; CWE-89 |
Ocena CVSS | Fortinet i NVD: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez uprawnień, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność. ENISA: 9.6 (niżej, bo uwzględnia stan wykorzystania) |
Wyobraź sobie ratownika na plaży, którego zadaniem jest pilnować, żeby nikt nie wnosił niebezpiecznych przedmiotów. Okazuje się, że sam ratownik ma w kieszeni dokładnie taki przedmiot, a każdy przechodzień może mu go wyjąć bez pytania. FortiWeb miał blokować wstrzyknięcia SQL, a sam przyjmował je w nagłówku żądania i wykonywał w swojej bazie danych.
Wstrzyknięcie SQL polega na tym, że napastnik wpisuje w miejsce zwykłych danych fragment polecenia dla bazy danych, a program wykonuje go, zamiast potraktować jak tekst. W FortiWebie ten fragment trafiał do zapytania bez sprawdzenia, a że baza działała z najwyższymi uprawnieniami, napastnik mógł zapisać plik na urządzeniu i doprowadzić do wykonania własnego kodu. Wszystko przez ten sam kanał, którym płynie normalny ruch stron, więc ograniczenie dostępu do panelu administracyjnego tej luki nie zamyka.
💡 WAF (Web Application Firewall) to zapora, która filtruje ruch do aplikacji internetowej. Wstrzyknięcie SQL to atak, w którym dane wejściowe zawierają ukryte polecenie dla bazy danych. Bez uwierzytelnienia (pre-auth) oznacza, że napastnik nie potrzebuje konta ani hasła. Gałąź wersji to równoległa linia rozwojowa produktu (np. 7.4.x, 7.6.x).
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Żądanie do aplikacji za FortiWebem | Zapora filtruje i przepuszcza ruch | Spreparowany nagłówek wykonuje polecenia w bazie urządzenia |
Konto i hasło | Potrzebne do zarządzania | Niepotrzebne do ataku |
Ograniczenie dostępu do panelu | Zmniejsza ryzyko | Nie pomaga: atak idzie kanałem zwykłego ruchu |
Ruch klientów (logowania, zamówienia) | Chroniony przez zaporę | Przechodzi przez urządzenie, które może być przejęte |
Numer wersji 7.6.3 | Wygląda na nowszy niż 7.4.8 | Jest podatny, choć numerem wyższy |
źródło: Pexels, Eunjin BaekPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z publicznym opisem exploita. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. FortiWeb z definicji jest wystawiony do internetu, luka nie wymaga logowania, a CISA ocenia atak jako w pełni automatyzowalny, więc napastnik przeczesuje internet, a nie wybiera ofiarę.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie urządzeń FortiWeb w internecie | Lista celów |
2. Wstrzyknięcie SQL | T+sekundy | Wysłanie żądania ze spreparowanym nagłówkiem Authorization | Wykonanie poleceń w bazie z uprawnieniami roota |
3. Zapis pliku | T+sekundy | Zapis pliku na urządzeniu (INTO OUTFILE) i podmiana modułu skryptu | Przygotowane wykonanie kodu |
4. Wykonanie kodu | T+minuty | Wywołanie dostępnego bez logowania skryptu | Kontrola nad urządzeniem |
5. Przechwytywanie ruchu | T+godziny | Odczyt danych logowania klientów, zamówień, danych kart, zanim zostaną zaszyfrowane wewnątrz | Wyciek danych |
6. Ekspansja | T+dni | Wejście do sieci wewnętrznej z przejętej zapory | Szersze włamanie |
Zapora aplikacji internetowej z definicji stoi wystawiona do internetu i widzi ruch, zanim zostanie zaszyfrowany wewnątrz. Przejęcie jej to nie jeden komputer, ale skrzyżowanie, przez które przechodzą dane logowania klientów, zamówienia i ewentualnie dane kart. Publiczny exploit i automatyzacja sprawiają, że ryzyko jest natychmiastowe, a nie hipotetyczne.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przestój sklepu lub portalu, odtworzenie urządzenia i konfiguracji | Godziny do dni | 20 tys. do 200 tys. PLN (przestój, praca IT) |
Bezpieczeństwo danych | Wyciek danych logowania klientów, zamówień, potencjalnie danych płatniczych | Godziny od ataku | 30 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, obsługi płatności, ewentualne roszczenia klientów | Tygodnie | 50 tys. do 600 tys. PLN |
Reputacyjny | Utrata zaufania klientów sklepu, informacja o wycieku | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i zwykle powiadomienia klientów; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; wymogi dotyczące danych kart | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla FortiWeb bez poprawki, dostępnego z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo wszystkie warunki najgorszego scenariusza są spełnione: brak logowania, urządzenie z definicji w internecie, publiczny exploit, pełna automatyzacja i EPSS bliski 100%; pytanie „czy ktoś zainteresuje się naszą firmą” traci sens, bo skanery szukają urządzeń, nie firm.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma FortiWeb (także u partnera IT lub dostawcy hostingu) i w jakiej wersji oraz gałęzi | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zaktualizować do wersji z poprawką dla swojej gałęzi (7.0.11, 7.2.11, 7.4.8 lub 7.6.4), nie czekając na weekend | Dziś | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja musi poczekać kilka godzin, ograniczyć dostęp do panelu administracyjnego z internetu | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Przejrzeć logi urządzenia od lipca 2025 pod kątem podejrzanych żądań do /api/fabric i nietypowych plików | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić konta administracyjne urządzenia i zmienić hasła | Do 3 dni | Administrator sieci |
6 | 🟠 PILNIE | Jeśli logi nie sięgają wstecz, założyć możliwość wycieku i ocenić obowiązki wobec klientów | Do 7 dni | Zarząd / dział prawny |
7 | 🟡 WAŻNIE | Włączyć dłuższe przechowywanie logów urządzenia i monitorowanie aktualizacji Fortinet | Do 30 dni | CTO |
Fortinet wydał poprawki dla wszystkich utrzymywanych gałęzi. CISA podaje tylko dwie drogi: zastosować zalecenia producenta albo przestać używać produktu. Nie ma ustawienia zamykającego tę lukę bez aktualizacji. Poniższe miary tylko ograniczają pole rażenia. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do panelu administracyjnego do sieci firmowej lub VPN | Niska wobec tej luki (atak idzie kanałem ruchu WWW), przydatna przy innych | Średnia |
Ograniczenie ruchu do urządzenia do znanych adresów, jeśli usługa na to pozwala | Średnia, jeśli aplikacja obsługuje ograniczony krąg klientów | Trudna dla publicznego sklepu |
Czasowe wyłączenie urządzenia do czasu aktualizacji | Wysoka | Trudna: oznacza przestój usługi |
Monitorowanie logów pod kątem wzorca ataku | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja FortiWeb | Podatna gałąź sprzed poprawki | Zaktualizowana w swojej gałęzi |
Atak bez logowania | Możliwy dla każdego z internetu | Zablokowany |
Logi urządzenia | Krótkie lub niesprawdzone | Przejrzane, przechowywane dłużej |
Konta administracyjne | Niesprawdzone | Zweryfikowane, hasła zmienione |
Wiedza o ewentualnym wycieku | Brak | Ustalona lub świadomie założona |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CISA ocenia atak jako w pełni automatyzowalny |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg Fortinet i NVD (CVSS 3.1); 9.6 wg ENISA (uwzględnia stan wykorzystania) |
PoC dostępny publicznie? | TAK: Exploit-DB (52473), Packet Storm, GitHub, opis techniczny z drogą do wykonania kodu |
Liczba atakowanych firm | Brak publicznych informacji |
Punkt wejścia | Nagłówek Authorization w żądaniu do /api/fabric/device/status (wg opisu badacza) |
Prognoza EPSS | Około 0,998, praktycznie pewność prób w ciągu miesiąca (wg analizy źródłowej) |
Różnica 9.8 wobec 9.6 nie oznacza mniejszego zagrożenia: niższy wynik ENISA bierze się właśnie stąd, że o luce wiadomo więcej i istnieje działający exploit. Przy takim EPSS i publicznym kodzie liczy się fakt wykorzystania, a nie drobne różnice punktów.
Sygnały zagrożenia dla CVE-2025-25257
CVSS 3.1 (NVD) 9.8/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (ENISA) 9.6/10 ███████████████████░ KRYTYCZNA
EPSS 0,998 ████████████████████ praktycznie pewność
CISA KEV TAK ████████████████████ ataki potwierdzone
PoC publiczny TAK ████████████████████ gotowy kod
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie 2025-02 Badacz niezależnie odkrywa lukę (publikuje skrót kryptograficzny)
2025-07-10 Publikacja opisu technicznego i drogi do wykonania kodu
2025-07-17 Publikacja CVE-2025-25257, biuletyn Fortinet FG-IR-25-151
2025-07-18 CISA dodaje lukę do katalogu KEV (jedyny wpis tego dnia)
2025-08-08 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami: fortiguard.fortinet.com/psirt/FG-IR-25-151 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-25257 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa FortiWeb (bezpośrednio lub przez dostawcę) | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersję i gałąź urządzenia | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację, także w godzinach pracy, mimo krótkiego przestoju | CTO | DZISIAJ |
4 | Zlecić przegląd logów urządzenia i kont administracyjnych | CTO | DO JUTRA |
5 | Ustalić, czy logi sięgają okresu, gdy urządzenie było podatne | CTO | DO JUTRA |
6 | Jeśli wyciek jest możliwy, uruchomić z działem prawnym ocenę obowiązków wobec klientów | CFO / dział prawny | DO JUTRA |
7 | Sprawdzić w umowie z dostawcą hostingu lub partnerem IT, kto odpowiada za aktualizacje urządzenia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Fortinet FortiWeb? | TAK / NIE | 🔴 |
2 | Na której gałęzi i w jakiej dokładnej wersji działa urządzenie? | [gałąź i wersja] | 🔴 |
3 | Kiedy zaktualizowano je do wersji z poprawką dla tej gałęzi? | [data] | 🔴 |
4 | Czy przejrzano logi od lipca 2025 pod kątem ataku? | TAK / NIE, [data] | 🟠 |
5 | Jak długo przechowujemy logi tego urządzenia? | [okres] | 🟠 |
6 | Czy konta administracyjne urządzenia zostały sprawdzone, a hasła zmienione? | TAK / NIE | 🟠 |
7 | Jakie dane klientów przechodzą przez to urządzenie? | [opis] | 🟡 |
CVE-2025-25257 pozwala bez logowania wykonać wstrzyknięcie SQL i przejąć zaporę FortiWeb, a gotowy kod ataku jest publiczny i w pełni automatyzowalny. Poprawki są dostępne dla wszystkich gałęzi, termin CISA minął 8 sierpnia 2025 roku, więc natychmiastowa aktualizacja do wersji właściwej dla swojej gałęzi i przegląd logów to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.