החולשה CVE-2025-25249 יושבת בפומבי מאז 13 בינואר 2026. פורטינט נתנה לה 8.1 והעריכה שהתקיפה מורכבת, NVD נתנה לה 9.8, ושמונה חודשים זה נשאר ויכוח על מספר. ב-9 בספטמבר CISA הכניסה אותה לרשימת ה-KEV, אחרי שהתברר מה קורה איתה בשטח.

סקירה כללית

FortiGate הוא הפיירוול של פורטינט, ציוד שיושב בגבול הרשת ומנהל גם את נקודות הגישה האלחוטיות שסביבו. לניהול הזה יש service ייעודי שמפרסר פניות שמגיעות ברשת, ה-cw_acd, והוא לא בודק כראוי את גודל הנתונים שהגיעו אליו. הוא כותב מעבר לבלוק הזיכרון שהוקצה להם, ולזה קוראים heap-based buffer overflow (גלישת חוצץ בערמת הזיכרון). תוקף בלי פרטי אימות שמגיע אליו מהרשת יכול להגיע להרצת קוד על הפיירוול עצמו.

מה שהפך את הרשומה הישנה לדחופה נמצא מאחוריה. חוקרי SOCRadar מדווחים על קמפיין שפעיל לפחות מאז יולי 2026, שבו נסרקו יותר מ-30 אלף כתובות IP ואותרו 178 מכשירים נגועים. על פיירוול שנפרץ מותקן PivotC2, כלי שליטה מרחוק שנכתב ב-Node.js ספציפית ל-FortiGate: הוא שולף את קובץ ההגדרות, מפענח את פרטי האימות השמורים בתוכו, ופותח proxy ותעלות port forwarding אל תוך הרשת הפנימית. SOCRadar מייחסת את הפעילות לגורם פשיעה דובר רוסית עם מניע כלכלי, וזו הערכה שלהם ולא ייחוס מאומת.

מזהה: CVE-2025-25249
סוג: גלישת חוצץ בערמת הזיכרון (CWE-787 לפי NVD, CWE-122 לפי פורטינט)
מוצר: FortiOS ו-FortiSwitchManager
גרסאות מושפעות: FortiOS 7.6.0 עד 7.6.3, 7.4.0 עד 7.4.8, 7.2.0 עד 7.2.11, 7.0.0 עד 7.0.17, וכל גרסאות 6.4 לפי NVD; FortiSwitchManager 7.2.0 עד 7.2.6 ו-7.0.0 עד 7.0.5
גרסה מתוקנת: FortiOS 7.6.4, 7.4.9, 7.2.12, 7.0.18; FortiSwitchManager 7.2.7, 7.0.6
ניצול בפועל: כן, נכנסה לרשימת ה-KEV של CISA ב-9 בספטמבר 2026

ציר זמן

13 בינואר 2026: רשומת החולשה מתפרסמת ב-NVD, לצד ההמלצה FG-IR-25-084 של פורטינט.
יולי 2026: לפי SOCRadar, מתחיל ניצול פעיל בשטח.
ספטמבר 2026: SOCRadar מפרסמת ניתוח של הקמפיין ושל PivotC2.
9 בספטמבר 2026: CISA מוסיפה את החולשה לרשימת ה-KEV.

איך הניצול עובד

התוקף שולח ל-cw_acd מנות CAPWAP בנויות במיוחד, בפורטים 5246 עד 5249, גדולות ממה שהחוצץ מולן יודע להכיל. כאן נכנס לתמונה ה-heap-based buffer overflow: הכתיבה החורגת דורסת מבני נתונים סמוכים, ומשם אפשר להפנות את זרימת ההרצה של ה-service לקוד של התוקף. למי שלא יכול לעדכן מיד, פורטינט ממליצה להוריד את הרשאת ה-fabric מהממשקים או לחסום את הפורטים האלה במדיניות local-in. זה מנתק את התוקף מהרכיב הפגיע.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

כל הפער בין שני הציונים יושב על מדד אחד: פורטינט העריכה שהתקיפה מורכבת ונתנה 8.1, NVD קבעה שהיא לא ונתנה 9.8. קמפיין שסורק עשרות אלפי כתובות מראה איזו הערכה תיארה נכון את המציאות.

איפה למצוא Proof of Concept (PoC)

לא נמצא PoC ציבורי לחולשה. הניתוח הטכני המפורט ביותר הוא הדיווח של SOCRadar על PivotC2, שמתעד את הכלי ואת תשתית הקמפיין. מי שמנהל FortiGate ימצא שם סימני פריצה (Indicators of Compromise) לבדיקה מול הציוד.

הציון 9.8 היה שנוי במחלוקת בינואר. מאז יולי יש 178 מכשירים שמסכימים עם NVD.