Через FortiManager взломали более 500 FortiGate: имплант PEERSTITCH живёт только в памяти

Имплант PEERSTITCH заражает межсетевые экраны FortiGate и не оставляет следов на диске. 14 октября 2026 года Palo Alto Networks Unit 42 показала цепочку атаки: взлом FortiManager через CVE-2024-47575, кража конфигураций более 500 устройств, затем root через path traversal CVE-2025-61624. Если у вас FortiOS и централизованное управление, обновите прошивку и считайте ключи и пароли из конфигураций скомпрометированными.

16 октября CISA внесла CVE-2025-61624 в каталог эксплуатируемых уязвимостей (KEV) — вместе с BeyondTrust Remote Support, о котором мы писали отдельно. Для компаний, у которых периметр держится на одной консоли управления, это повод провести пентест периметра и пересмотреть, кто и откуда может дотянуться до админ-интерфейсов.

Главная особенность кампании — не сама уязвимость (у неё средний балл CVSS 6.0 от Fortinet, нужны права администратора), а то, как её использовали. Средняя по шкале ошибка стала последним звеном цепочки, которая начиналась с одной точки входа и закончилась невидимым закреплением на сотнях устройств. Такие сценарии хорошо ловит комплексная программа информационной безопасности, а не точечное латание CVE по баллу.

Как развивалась атака: от FortiManager к root на FortiGate

По данным Unit 42, кластер активности отслеживается как CL-STA-0954 (он же UNC5820), вторжение началось ещё в сентябре 2024 года. Последовательность выглядела так:

• Точка входа. Атакующие эксплуатировали CVE-2024-47575 (FortiJump) — удалённое выполнение команд без авторизации в канале управления FortiManager (FGFM, TCP-порт 541) — и зарегистрировали поддельное виртуальное устройство FortiGate.
• Кража конфигураций. Из FortiManager был выгружен архив с рабочими конфигурациями более 500 управляемых межсетевых экранов: учётные данные, криптографический материал и файлы баз данных. Устройства защищали как инфраструктуру сервис-провайдера, так и сети его клиентов.
• Повторный вход. Расшифрованные учётные данные позволили открывать несанкционированные SSL VPN-сессии.
• Повышение привилегий. Через CVE-2025-61624 — path traversal в движке auto-script FortiOS — администратор мог записать файл за пределами разрешённого каталога, а скрипт исполнялся с правами root. Так на устройства попал PEERSTITCH.

Чем PEERSTITCH отличается от обычного бэкдора

PEERSTITCH — 64-битный исполняемый файл под Linux ARM64, написанный на C и статически собранный с glibc. Он внедряется в штатные демоны FortiOS — miglogd (журналирование) и iked (IPsec VPN) — и строит между ними скрытый канал связи прямо в памяти. Управляющие сообщения имплант распознаёт по маркерам в проходящем трафике.

По описанию Unit 42, PEERSTITCH не оставляет постоянного бинарника на диске, не открывает слушающих портов и не инициирует исходящих соединений. Стандартные проверки — сканирование файловой системы, список открытых портов, анализ исходящего трафика с устройства — его не увидят. Исследователи отмечают, что часть активности после взлома пересекается с операциями, приписываемыми государственным группировкам.

Какие версии FortiOS затронуты CVE-2025-61624

Согласно бюллетеню Fortinet FG-IR-26-122 и записи NVD, уязвимы:

• FortiOS 7.6.0–7.6.4 и 7.4.0–7.4.9; ветки 7.2, 7.0 и 6.4 — все версии;
• FortiProxy 7.6.0–7.6.4 и 7.4.0–7.4.11; ветки 7.2 и 7.0 — все версии;
• FortiPAM 1.7.0 и ветки 1.0–1.6 целиком;
• FortiSwitchManager 7.2.0–7.2.7 и 7.0.0–7.0.6.

Для старых веток 7.2, 7.0 и 6.4 исправления в рамках ветки нет — нужен переход на поддерживаемую линейку. Точные номера исправленных сборок сверяйте с бюллетенем вендора перед обновлением. Уязвимость также затрагивает продукты Siemens на базе Fortinet (бюллетень SSA-975644).

Что делать командам, у которых есть FortiGate

Одного обновления прошивки мало: если FortiManager был доступен извне, конфигурации могли уйти атакующим задолго до патча.

1. Обновите FortiOS, FortiProxy, FortiPAM и FortiSwitchManager до исправленных версий, а FortiManager — до сборок, закрывающих CVE-2024-47575.
2. Уберите управление из интернета. Порт FGFM 541 и админ-интерфейсы — только из выделенного сегмента управления, с MFA и белым списком адресов.
3. Проверьте список устройств в FortiManager на неизвестные или виртуальные FortiGate, которых вы не регистрировали.
4. Считайте секреты скомпрометированными. Смените пароли администраторов и локальных пользователей, PSK для IPsec, сертификаты и ключи, которые хранились в конфигурациях.
5. Проанализируйте журналы SSL VPN на входы из нетипичных стран и в нерабочее время, а также ревизию auto-script на устройствах.
6. Для подозрительных устройств — перепрошивка с нуля. Имплант в памяти может не пережить перезагрузку, но причина взлома — украденные учётные данные — останется.

Почему это важно не только для Fortinet

Кампания показывает слабое место централизованного управления: консоль, которая видит сотни устройств, становится единой точкой отказа. Для сервис-провайдеров это означает риск сразу для всех клиентов. Средства управления сетью, CI/CD-серверы, системы удалённой поддержки и консоли облаков требуют той же изоляции, что и сами производственные системы, — и регулярной проверки, кто к ним реально имеет доступ.

Второй урок — приоритизация по CVSS обманчива. CVE-2025-61624 с баллом 6.0 легко отложить «на потом», но в связке с украденными учётными данными она дала атакующим root. Ориентир — каталог KEV и данные об эксплуатации, а не только базовая оценка.

Частые вопросы

Что такое PEERSTITCH? Имплант для FortiGate под ARM64, который внедряется в демоны FortiOS и общается с оператором через скрытый канал в памяти, без файлов на диске и без собственных сетевых соединений.

Нужна ли авторизация для эксплуатации CVE-2025-61624? Да, нужны права администратора с профилем на чтение и запись. В описанной кампании их получили через украденные из FortiManager конфигурации.

Хватит ли перезагрузки устройства? Нет. Даже если имплант исчезнет из памяти, у атакующих остаются учётные данные и ключи. Нужно обновление, смена всех секретов и проверка журналов.

Затронуты ли клиенты сервис-провайдеров? В описанном случае — да: скомпрометированные межсетевые экраны защищали и инфраструктуру провайдера, и сети его клиентов.

Источники

• Palo Alto Networks Unit 42 — Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant, 14 октября 2026 (первоисточник).
• CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog, 16 октября 2026.
• NVD — CVE-2025-61624.
• Fortinet PSIRT — FG-IR-26-122.
• Security Affairs — PEERSTITCH malware: How Attackers Compromised 500 Firewalls Through FortiManager, октябрь 2026.