Šta se desilo?

Napadači aktivno iskorišćavaju ranjivost visokog rizika u Fortinet proizvodima kako bi instalirali Node.js RAT malver poznat kao PivotC2. Greška, označena kao CVE-2025-25249, omogućava udaljeno izvršavanje koda bez potrebe za autentifikacijom i klasifikovana je kao heap-based buffer overflow za koju Fortinet prikazuje CVSS 3.1 ocenu 7,4. Fortinet je objavio advisory 13. januara 2026. i naveo ispravljena izdanja, ali napadači nastavljaju sa eksploatacijom.

Koga pogađa?

Primarno su ugroženi vlasnici Fortinet FortiGate uređaja i FortiSwitchManager rešenja. Istraživanja pokazuju da su napadači ciljali američke entitete, međutim ugroženi su svi sistemi koji nisu ažurirani na preporučene verzije. Posebno su osetljive organizacije koje koriste Fortinet proizvode na graničnim čvorovima i mrežnoj infrastrukturi.

Kako se zaštititi?

  • Hitno ažurirajte FortiOS na verzije 7.6.4, 7.4.9, 7.2.12 ili 7.0.18
  • Ažurirajte FortiSwitchManager na verzije 7.2.7 ili 7.0.6
  • Sačuvajte i analizirajte logove zbog mogućeg ranijeg kompromitovanja; zakrpa ne uklanja već instaliran malver
  • Blokirajte potvrđene zlonamerne IP adrese koje su korišćena u napadima
  • Primenite princip najmanjih privilegija za administratorske naloge
  • Pratite neočekivano Node.js izvršavanje, odlazne TLS veze, skeniranje mreže i tunelovanje

Tehnički detalji

Pogođeni su FortiOS 7.6.0–7.6.3, 7.4.0–7.4.8, 7.2.0–7.2.11, 7.0.0–7.0.17 i cela grana 6.4, kao i FortiSwitchManager 7.2.0–7.2.6 i 7.0.0–7.0.5. Za FortiOS 6.4 potrebna je migracija na ispravljeno izdanje. Pratite zvaničnu putanju nadogradnje.

CVE-2025-25249 je heap-based buffer overflow u Fortinet proizvodima koji omogućava udaljenom napadaču bez autentifikacije izvršavanje proizvoljnog koda putem posebno oblikovanih zahteva. Fortinet prikazuje ocenu 7,4 i nivo High, uz napomenu da ASLR i PIE otežavaju eksploataciju. Malver PivotC2 je Node.js RAT koji pruža interaktivni komandni pristup, mogućnost tuneliranja saobraćaja, mrežno skeniranje i prikupljanje konfiguracije kompromitovanih uređaja. SOCRadar navodi više od 30.000 ciljanih IP adresa i 178 potvrđenih PivotC2 sesija. Ciljane adrese nisu broj žrtava. Istraživači povezuju kampanju sa ovom ranjivošću sa visokim stepenom pouzdanosti; aktivnu eksploataciju potvrđuje i HKCERT.

Zašto je važno?

Kompromitovan mrežni uređaj može poslužiti za pristup drugim sistemima. SOCRadar ocenjuje da iza kampanje stoji kriminalni akter koji govori ruski; to nije dokaz državne pripadnosti. Nema potvrde o žrtvama u Srbiji ili regionu.

Preporuka Sajber Radara

Svaka organizacija koja koristi Fortinet proizvode treba hitno da proveri verziju softvera i primeni dostupnu zakrpu bez odlaganja. Preporučujemo testiranje zakrpe u laboratorijskom okruženju pre primene na produkcionim sistemima, kao i detaljnu analizu logova za znakove kompromitovanja.