▸▾Herleitung der Bewertung(5)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2025-25249+25
- Hoechster CVSS-Basiswert 8.1+15
- Wird laut Meldung tatsaechlich ausgenutzt: "exploited" im Titel+12
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2025-25249, CVSS-Vektor AV:N/PR:N)+10
- EPSS 3.7 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+1
Woraus sich die Konfidenz ergibt
- 3 unabhaengige Herausgeber berichten den Sachverhalt
- Darunter eine behoerdliche Primaerquelle
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Fortinet Code Execution Flaw Exploited in PivotC2 RAT Attacks
Angreifer nutzen eine kritische Schwachstelle (CVE-2025-25249) in Fortinet-Produkten aus, um die PivotC2 RAT-Malware zu installieren. Betroffen sind über 30.000 IP-Adressen, wobei 178 Geräte infiziert wurden, hauptsächlich in den USA, mit Fällen von Datenexfiltration. Organisationen sollten dringend ihre FortiOS- und FortiSwitchManager-Installationen auf die neuesten Versionen aktualisieren, um sich zu schützen.
SecBoard-Einordnung
Die aktive Ausnutzung dieser kritischen Schwachstelle ermöglicht Angreifern die Installation von Remote Access Trojans (RATs) und die Exfiltration sensibler Daten, was zu erheblichen Sicherheitsverletzungen führen kann. Die betroffenen Produkte sind oft am Netzwerkrand positioniert, was ein hohes Risiko darstellt.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer vollständige Kontrolle über betroffene Fortinet-Geräte erlangen, beliebigen Code ausführen, sensible Daten exfiltrieren und sich weiter im Netzwerk ausbreiten, was zu einem umfassenden Datenverlust oder einer Kompromittierung der Infrastruktur führen könnte.
Empfehlung: Organisationen sollten umgehend ihre FortiOS- und FortiSwitchManager-Installationen auf die neuesten Versionen (7.6.4, 7.4.9, 7.2.12, 7.0.18, 7.2.7 oder 7.0.6 oder neuer) aktualisieren, um die Schwachstelle zu beheben.
Im erfassten Bestand
- ▸CVE-2025-25249 stand zum Zeitpunkt dieser Meldung seit 1 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 8.1 · HIGH
- EPSS
- 3.7%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-09-09
- Patch
- unbekannt
- Zuweisende CNA
- psirt@fortinet.com
Betroffen
Organisationen, die Fortinet-Produkte, insbesondere FortiOS und FortiSwitchManager, einsetzen.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (5)
- cpe:2.3:a:fortinet:fortisase:25.1.39:*:*:*:-:*:*:*
- cpe:2.3:a:fortinet:fortisase:25.1.51:*:*:*:-:*:*:*
- cpe:2.3:a:fortinet:fortiswitchmanager:*:*:*:*:*:*:*:*
- cpe:2.3:o:fortinet:fortios:*:*:*:*:*:*:*:*
- cpe:2.3:o:siemens:ruggedcom_ape1808_firmware:-:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie alle Fortinet-Geräte, insbesondere FortiOS und FortiSwitchManager, auf die installierte Softwareversion und stellen Sie sicher, dass diese gepatcht ist.
- ▸Suchen Sie in Ihren Netzwerkprotokollen nach Anzeichen für die PivotC2 RAT-Malware oder ungewöhnliche ausgehende Verbindungen von Fortinet-Geräten.
▸ 1 weitere▾ weniger
- ▸Führen Sie regelmäßige Schwachstellenscans Ihrer extern zugänglichen Fortinet-Infrastruktur durch, um ungepatchte Systeme zu identifizieren.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Fortinet-Produkte neben FortiOS und FortiSwitchManager betroffen sind.
- ▸Der genaue Mechanismus der Datenexfiltration ist im Artikel nicht detailliert beschrieben.
- ▸Es wird nicht angegeben, welche Art von Daten exfiltriert wurde.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Fortinet extern erreichbar?
MITRE ATT&CK(5)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Fällen von Datenexfiltration“
„Remote Code Execution“
„PivotC2 RAT-Malware zu installieren“
„Angreifer nutzen eine kritische Schwachstelle (CVE-2025-25249) in Fortinet-Produkten aus“
„PivotC2 RAT-Malware zu installieren“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- BleepingComputerKontextCritical Citrix NetScaler auth bypass now leveraged in attacks
- CISA Current ActivityPrimärbelegCISA Adds Four Known Exploited Vulnerabilities to Catalog
- SecurityWeekKontextFortinet Code Execution Flaw Exploited in PivotC2 RAT Attacks
Der Vorgang wird seit 6 Tagen berichtet.
Quellen & Belege· 3 unterschiedliche Quellen
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile