- The Hacker News報道，該漏洞影響FortiOS、FortiPAM、FortiProxy及FortiSwitchManager，CVSS評分為5.4。
- 攻擊者利用合法憑證，從外部中轉基礎設施建立未經授權的FortiGate SSL/VPN工作階段。
攻擊者利用合法憑證，從已知的外部中轉基礎設施向邊界防火牆建立未經授權的FortiGate SSL/VPN工作階段。
The Hacker News報道，CVE-2025-61624影響FortiOS、FortiPAM、FortiProxy及FortiSwitchManager，並獲得CVSS評分5.4。
PEERSTITCH在記憶體修補FortiOS程序
PEERSTITCH是以C語言編寫、與glibc靜態連結的64位元Linux ARM64可執行檔。其注入器針對FortiOS守護程序/bin/miglogd及/bin/iked。
該惡意軟件在兩個守護程序之間建立隱蔽、駐留記憶體的通信橋接，而非使用網絡套接字或磁碟檔案。當存在相符標籤時，掛鈎會採用另一返回分支，繞過FortiOS預設的安全驗證。
Unit 42表示，PEERSTITCH不會在磁碟留下持久二進制檔案、不會開啟監聽連接埠，也不會發起出站網絡連線。它透過受感染主機上合法程序產生的流量通信，因此能抵禦傳統端點及網絡偵測。
攻擊者從FortiManager數據取回防火牆憑證
攻擊者最初利用CVE-2024-47575入侵集中式FortiManager設備。他們外洩運行配置、加密材料及數據庫檔案，當中包含超過500部受管理FortiGate防火牆的資料。
Unit 42表示，已透過成功暴力破解外洩配置檔案中的管理員及SSL/VPN密碼，確認該等憑證可被取回。
攻擊者在部署PEERSTITCH的同時，亦將FortiGate防火牆原生的Apache mod_md模組武器化，以建立命令及控制通道。
在來自外部基礎設施的FGFM互動之後，名為FortiGateCloud的管理帳戶從多部受管理防火牆下載完整運行配置。Unit 42中等程度確信，攻擊者透過FGFM冒充管理平台發出該等指令。
Unit 42識別記憶體及系統調用指標
Unit 42建議檢查/bin/miglogd及/bin/iked的記憶體映射，尋找具備rwxp權限的匿名16,384字節區域。
Unit 42表示，Palo Alto Networks已向Cyber Threat Alliance成員分享這些調查結果。
Unit 42表示，防禦者亦必須在平台遭入侵的一刻，將該等介面所持有的憑證及證書視為已遭入侵。
防守方現在要做甚麼
- 當管理平台遭入侵時，即將其持有的憑證及證書視為已遭入侵。
常見問題
FortiGate的CVE-2025-61624入侵事件發生了甚麼事？
Unit 42表示，攻擊者利用CVE-2025-61624，從FortiOS管理員存取權限提升至底層防火牆作業系統的root權限，並部署PEERSTITCH。
哪些產品受CVE-2025-61624影響？
The Hacker News報道，該漏洞影響FortiOS、FortiPAM、FortiProxy及FortiSwitchManager，CVSS評分為5.4。
甚麼是PEERSTITCH？
Unit 42形容PEERSTITCH是駐留記憶體的ARM64惡意軟件，會在FortiOS守護程序/bin/miglogd及/bin/iked之間建立隱蔽通信橋接。
攻擊者如何接觸FortiGate防火牆？
他們入侵集中式FortiManager設備，外洩配置及加密材料。Unit 42確認可從配置檔案取回管理員及SSL/VPN憑證，攻擊者並利用合法憑證建立未經授權的SSL/VPN工作階段。
Unit 42建議採取哪些偵測步驟？
Unit 42建議檢查/bin/miglogd及/bin/iked的記憶體映射，尋找具備rwxp權限的匿名16,384字節區域，並審核核心系統調用遙測資料，查找兩個程序之間以/proc/ /mem為目標的open()及write()操作。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Unit 42調查一宗針對電訊機構、於2024年9月發生的多階段網絡入侵。 | Unit 42 | 已證實 |
| 攻擊者最初利用CVE-2024-47575入侵集中式FortiManager設備。 | Unit 42 | 已證實 |
| 攻擊者外洩配置、加密材料及數據庫，當中包含超過500部受管理FortiGate防火牆的資料。 | Unit 42 | 已證實 |
| 攻擊者利用合法憑證，從外部中轉基礎設施建立未經授權的FortiGate SSL/VPN工作階段。 | Unit 42 | 已證實 |
| 攻擊者利用CVE-2025-61624，從FortiOS管理員存取權限提升至底層防火牆作業系統的root權限。 | Unit 42 | 已證實 |
| 該漏洞被用於部署PEERSTITCH，一種新型駐留記憶體ARM64惡意軟件。 | Unit 42 | 已證實 |
| The Hacker News報道，CVE-2025-61624的CVSS評分為5.4，並影響FortiOS、FortiPAM、FortiProxy及FortiSwitchManager。 | The Hacker News | 引述 |
| Fortinet的公告表示，該路徑遍歷漏洞可能讓具備特權的攻擊者，透過向現有指令提供精心構造的參數，任意寫入或刪除檔案。 | Fortinet | 已證實 |
| PEERSTITCH不會在磁碟留下持久二進制檔案、不會開啟監聽連接埠，也不會發起出站網絡連線。 | Unit 42 | 已證實 |
| PEERSTITCH透過合法程序產生的流量通信，因此能抵禦傳統端點及網絡偵測。 | Unit 42 | 已證實 |
| PEERSTITCH是以C語言編寫、與glibc靜態連結的64位元Linux ARM64可執行檔。 | Unit 42 | 已證實 |
| 注入器針對FortiOS守護程序/bin/miglogd及/bin/iked。 | Unit 42 | 已證實 |
| 攻擊者從23.240.77[.]233:8085下載5個PEERSTITCH檔案至/data2/template/。 | Unit 42 | 已證實 |
| PEERSTITCH在/bin/miglogd及/bin/iked之間建立隱蔽、駐留記憶體的通信橋接，而非使用網絡套接字或磁碟檔案。 | Unit 42 | 已證實 |
| 當存在相符標籤時，/bin/iked掛鈎會採用另一返回分支，繞過FortiOS預設的安全驗證。 | Unit 42 | 已證實 |
| Unit 42中等程度確信，攻擊者透過FGFM冒充管理平台發出該等指令。 | Unit 42 | 已證實 |
| Unit 42建議檢查/bin/miglogd及/bin/iked的記憶體映射，尋找具備rwxp權限的匿名16,384字節區域。 | Unit 42 | 已證實 |
| unit42.paloaltonetworks.com於2026年10月14日發布報告。 | unit42.paloaltonetworks.com | 已證實 |
未能核實
- CVE-2025-61624是否在這宗入侵以外遭到利用，尚未確定
- 有多少部FortiGate防火牆受感染，尚未確定
- 涉嫌的高級持續性威脅行動者身份是否已確定，尚未確定
- 是否使用CVE-2024-26008或CVE-2024-26009，尚未確定
