Picus Security analyse une vulnérabilité FortiWeb permettant l'exécution de code à distance
Picus Security a détaillé la vulnérabilité critique FortiWeb CVE-2025-64446, permettant l'exécution de code à distance. La faille autorise des attaquants non authentifiés à obtenir un contrôle administratif.
La société de cybersécurité Picus Security a publié une analyse de la vulnérabilité critique FortiWeb CVE-2025-64446, qui permet l'exécution de code à distance et nécessite une action urgente.
La vulnérabilité, détaillée dans un avis de sécurité de Fortinet daté du 14 novembre 2025, affecte plusieurs versions des pare-feu d'applications Web (WAF) FortiWeb. Selon Picus Security, le problème découle d'une logique de routage des requêtes et d'authentification incorrecte, permettant à des attaquants non authentifiés d'exécuter des commandes avec des privilèges administratifs.
Avec un score CVSS de 9.8, la vulnérabilité est classée comme critique. L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) et Fortinet ont tous deux confirmé que la faille est activement exploitée. Il est fortement recommandé aux organisations utilisant des appliances FortiWeb vulnérables d'appliquer rapidement des correctifs ou de mettre en œuvre des mesures d'atténuation.
L'analyse de Picus Security décrit comment l'exploit combine deux faiblesses : une traversée de chemin relative qui contourne le traitement normal de l'API, et un en-tête HTTP mal traité qui permet l'usurpation d'un rôle d'administrateur sans authentification. Cette combinaison confère aux attaquants des capacités d'exécution de commandes administratives complètes.
L'entreprise propose également des outils pour simuler la vulnérabilité et tester les contrôles de sécurité existants. La plateforme Picus Security permet aux organisations de tester leurs défenses et d'obtenir des informations exploitables pour des mesures d'atténuation.