Picus Security: FortiWeb-laitteissa kriittinen haavoittuvuus mahdollistaa koodin suorituksen

Kyberturvallisuusyritys Picus Security on julkaissut yksityiskohtaisen analyysin kriittisestä FortiWeb CVE-2025-64446 -haavoittuvuudesta, joka mahdollistaa etäkoodin suorittamisen ja vaatii välittömiä toimenpiteitä.

Fortinetin marraskuun 14. päivänä 2025 julkaisemassa tietoturvatiedotteessa kuvattu haavoittuvuus koskee FortiWeb-verkkosovelluspalomuurien (WAF) useita versioita. Picus Securityn mukaan ongelma johtuu virheellisestä pyyntöjen reitityksestä ja autentikointilogiikasta, mikä antaa todentamattomille hyökkääjille mahdollisuuden suorittaa komentoja järjestelmänvalvojan oikeuksin.

Haavoittuvuuden CVSS-pistemäärä on 9.8, ja se luokitellaan kriittiseksi. Sekä Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto (CISA) että Fortinet ovat vahvistaneet, että haavoittuvuutta hyödynnetään aktiivisesti verkossa. Organisaatioita, jotka käyttävät haavoittuvaisia FortiWeb-laitteita, kehotetaan kiireellisesti asentamaan päivitykset tai käyttöön tilapäisratkaisut.

Picus Securityn analyysi paljastaa, että hyökkäys ketjuuttaa kaksi heikkoutta: suhteellisen polun läpiviennin, joka ohittaa normaalin API-käsittelyn, ja epäkelpona käsitelty HTTP-otsake, joka mahdollistaa järjestelmänvalvojan roolin kaappaamisen ilman todentamista.

Yritys tarjoaa myös työkaluja kyseisen haavoittuvuuden simulointiin ja turvatoimien testaamiseen. Picus Security Platformin avulla organisaatiot voivat testata puolustuskykyään ja saada tietoa korjaustoimenpiteistä.