▸▾Herleitung der Bewertung(4)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2024-47575, CVE-2025-61624, CVE-2025-59718+25
- Hoechster CVSS-Basiswert 9.8+18
- EPSS 94.8 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+14
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2024-47575, CVSS-Vektor AV:N/PR:N)+10
Woraus sich die Konfidenz ergibt
- Zwei unabhaengige Herausgeber berichten den Sachverhalt
- Darunter eine technische Analyse mit pruefbaren Details
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- 2 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2024-26009, CVE-2024-26008
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant
Angreifer haben eine Schwachstelle in einer FortiManager-Appliance ausgenutzt, um Konfigurationen und kryptografisches Material von über 500 FortiGate-Firewalls eines Telekommunikationsanbieters zu stehlen. Dies betrifft sowohl die Infrastruktur des Anbieters als auch die Netzwerke seiner Kunden. Die Angreifer setzten die neuartige Malware PEERSTITCH ein, um langfristigen Zugriff zu sichern und Netzwerkverkehr abzufangen. Betroffene sollten umgehend Maßnahmen ergreifen und bei Verdacht das Unit 42 Incident Response Team kontaktieren.
SecBoard-Einordnung
Der Diebstahl von Konfigurationen und kryptografischem Material kann zu weitreichenden Kompromittierungen führen, einschließlich der Möglichkeit, den Netzwerkverkehr abzufangen und langfristigen Zugriff auf kritische Infrastrukturen zu erhalten. Die Malware PEERSTITCH ist darauf ausgelegt, persistenten und verdeckten Zugriff zu ermöglichen.
Realistisch schlimmster Fall: Umfassende Kompromittierung der Netzwerkinfrastruktur, unbefugter Zugriff auf sensible Kundendaten, dauerhaftes Abfangen von Kommunikationsdaten und die vollständige Kontrolle über die betroffenen FortiGate-Firewalls.
Empfehlung: Organisationen, die Fortinet-Produkte verwenden, insbesondere solche, die von einem zentralen FortiManager verwaltet werden, sollten umgehend ihre Systeme auf Kompromittierung untersuchen und verfügbare Sicherheitsupdates anwenden. Bei Verdacht sollte das Unit 42 Incident Response Team kontaktiert werden.
Im erfassten Bestand
- ▸CVE-2024-47575 stand zum Zeitpunkt dieser Meldung seit 721 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 94.8%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2024-10-23
- Patch
- unbekannt
- Zuweisende CNA
- psirt@fortinet.com
- CVSS
- 9.8 · CRITICAL
- EPSS
- 68.3%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2025-12-16
- Patch
- unbekannt
- CVSS
- 6.0 · MEDIUM
- EPSS
- 1.1%
- Über das Netz
- nein
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-16
- Patch
- unbekannt
- Zuweisende CNA
- psirt@fortinet.com
- CVSS
- 9.8 · CRITICAL
- EPSS
- 29.2%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Telekommunikationsanbieter und deren Kunden, die FortiManager-Appliances zur Verwaltung von FortiGate-Firewalls nutzen.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (8)
- cpe:2.3:a:fortinet:fortimanager:*:*:*:*:*:*:*:*
- cpe:2.3:a:fortinet:fortimanager:7.6.0:*:*:*:*:*:*:*
- cpe:2.3:a:fortinet:fortimanager_cloud:*:*:*:*:*:*:*:*
- cpe:2.3:a:fortinet:fortiproxy:*:*:*:*:*:*:*:*
- cpe:2.3:a:fortinet:fortiswitchmanager:*:*:*:*:*:*:*:*
- cpe:2.3:o:fortinet:fortios:*:*:*:*:*:*:*:*
- cpe:2.3:o:fortinet:fortipam:*:*:*:*:*:*:*:*
- cpe:2.3:o:siemens:ruggedcom_ape1808_firmware:-:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie FortiManager-Logs auf ungewöhnliche Zugriffe oder Konfigurationsänderungen, insbesondere im Zusammenhang mit FortiGate-Firewalls.
- ▸Suchen Sie nach Anzeichen der PEERSTITCH-Malware, insbesondere nach Speicherresidenz oder ungewöhnlichem Netzwerkverkehr, der von FortiGate-Geräten ausgeht.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass alle FortiManager- und FortiGate-Appliances mit den neuesten Sicherheitsupdates versehen sind und bekannte Schwachstellen (CVE-2024-47575, CVE-2025-61624) behoben wurden.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genaue Art der ausgenutzten Schwachstellen (CVE-2024-47575, CVE-2025-61624) ist im deutschen Artikel nicht detailliert beschrieben.
- ▸Es ist nicht spezifiziert, welche spezifischen kryptografischen Materialien gestohlen wurden.
- ▸Die genaue Methode, mit der PEERSTITCH langfristigen Zugriff sichert, ist nicht detailliert beschrieben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Fortinet extern erreichbar?
- Haben wir Palo Alto extern erreichbar?
- Können wir Execution detektieren?
- Können wir Defense Evasion detektieren?
MITRE ATT&CK(8)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Netzwerkverkehr abzufangen“
„Netzwerkverkehr abzufangen“
„Angreifer haben eine Schwachstelle in einer FortiManager-Appliance ausgenutzt“
„langfristigen Zugriff zu sichern“
„Konfigurationen und kryptografisches Material von über 500 FortiGate-Firewalls [...] zu stehlen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
1
Einnistung
0
Fernsteuerung
0
Zielhandlung
1
1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- Unit 42Technischer BelegUnit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant
- SecurityWeekKontextExploited Fortinet Bug Linked to Stealthy FortiGate Implant in Telecom Hack
Der Vorgang wird seit 5 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap