Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2025-25249 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2025 |
| Data publikacji | 2026-09-09 |
| Producent | Fortinet |
| Produkt | wiele produktów |
| CVSS Score | 8.1 (Wysoki) |
| EPSS Score | 2.4% (percentyl: 83%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-12 |
Opis podatności
Źródło: CISA KEV
Fortinet FortiOS, FortiSwitchManager oraz FortiSASE zawierają podatność typu przepełnienie bufora na stercie (heap-based buffer overflow). Pozwala ona atakującemu wykonać nieuprawniony kod lub polecenia przy użyciu specjalnie spreparowanych pakietów.
Wektor pakietowy oznacza, że do próby wykorzystania wystarczy osiągalność sieciowa podatnej usługi — nie jest potrzebna interakcja użytkownika.
Zakres jest szerszy, niż sugeruje sama lista produktów Fortinetu. Wpis CPE w bazie NVD obejmuje oprócz fortinet:fortios, fortinet:fortiswitchmanager i fortinet:fortisase także siemens:ruggedcom_ape1808 — platformę aplikacyjną stosowaną w środowiskach przemysłowych, na której oprogramowanie Fortinetu bywa uruchamiane. Organizacje z obszarem OT powinny sprawdzić nie tylko klasyczną infrastrukturę IT, ale również urządzenia RUGGEDCOM APE1808.
Pozycja figuruje w katalogu CISA KEV jako aktywnie wykorzystywana, a wyznaczony termin reakcji minął 2026-09-12.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zachowując zgodność z dyrektywą CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz wytycznymi CISA „Forensics Triage Requirements”. W przypadku usług chmurowych postępuj według właściwych zapisów BOD 26-04, a jeżeli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu.
Ocena ekspozycji każdego zasobu na dostęp z internetu oraz przestrzeganie zasad aktualizacji wynikających z BOD 26-04 pozostają po stronie organizacji.
Kogo dotyczy?
Podatność dotyczy organizacji korzystających z FortiOS, FortiSwitchManager lub FortiSASE, a także — zgodnie z wpisem CPE — z platformy Siemens RUGGEDCOM APE1808 z oprogramowaniem Fortinetu.
Przy inwentaryzacji pamiętaj o dwóch miejscach, które łatwo pominąć: urządzeniach brzegowych poza głównym centrum danych (oddziały, lokalizacje zdalne) oraz o styku IT/OT. W sieciach przemysłowych okna serwisowe bywają rzadkie, więc harmonogram aktualizacji trzeba zaplanować osobno — a do tego czasu ograniczyć osiągalność sieciową podatnych usług.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
