Picus Security: Kritisk sårbarhet i FortiWeb möjliggör fjärrexekvering av kod

Cybersäkerhetsföretaget Picus Security har släppt en detaljerad analys av den kritiska sårbarheten FortiWeb CVE-2025-64446, som möjliggör fjärrexekvering av kod och kräver omedelbara åtgärder.

Sårbarheten, som beskrivs i en säkerhetsbulletin från Fortinet daterad 14 november 2025, påverkar flera versioner av FortiWeb-webbapplikationsbrandväggar (WAF). Enligt Picus Security beror problemet på felaktig hantering av förfrågningar och autentiseringslogik, vilket ger oautentiserade angripare möjlighet att utföra kommandon med administratörsrättigheter.

Sårbarheten har ett CVSS-poäng på 9.8, vilket klassificeras som kritisk. Både USA:s byrå för cybersäkerhet och infrastruktursäkerhet (CISA) och Fortinet har bekräftat att sårbarheten aktivt utnyttjas i det vilda. Organisationer som använder sårbara FortiWeb-enheter uppmanas skyndsamt att installera patchar eller implementera skyddsåtgärder.

Picus Securitys analys avslöjar att attacken utnyttjar en kombination av två svagheter: en relativ sökvägstraversering som kringgår normal API-hantering, och ett felaktigt hanterat HTTP-huvud som möjliggör kapning av administratörsroller utan autentisering.

Företaget erbjuder också verktyg för att simulera den aktuella sårbarheten och testa säkerhetskontroller. Picus Security Platform gör det möjligt för organisationer att testa sitt försvar och få insikter för åtgärder.