Umgehende Anwendung von Patches für CVE-2024-47575 (FortiManager) und CVE-2025-61624 (FortiOS).
▸▾Herleitung der Bewertung(6)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2024-47575, CVE-2025-61624+25
- Hoechster CVSS-Basiswert 9.8+18
- EPSS 94.8 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+14
- Wird laut Meldung tatsaechlich ausgenutzt: "exploited" im Titel+12
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2024-47575, CVSS-Vektor AV:N/PR:N)+10
- Betrifft KRITIS-nahe Branche: telekommunikation+5
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Unit 42 traces Peerstitch malware deployment to FortiOS vulnerability exploited after FortiManager compromise
Angreifer nutzten eine Schwachstelle in FortiManager (CVE-2024-47575), um Konfigurationen, Anmeldeinformationen und kryptografisches Material von über 500 FortiGate-Firewalls eines Telekommunikations-MSPs zu stehlen. Dies betrifft die Infrastruktur des Anbieters und potenziell die Netzwerke seiner Kunden. Es wurde auch die neue Malware Peerstitch entdeckt, die eine weitere FortiOS-Schwachstelle (CVE-2025-61624) ausnutzt. Unternehmen sollten ihre FortiManager- und FortiGate-Systeme umgehend patchen und auf Anzeichen von Kompromittierung prüfen.
SecBoard-Einordnung
Die Ausnutzung von FortiManager kann zum Diebstahl kritischer Konfigurationen und Anmeldeinformationen führen, was eine weitreichende Kompromittierung der Netzwerkinfrastruktur ermöglicht. Die Peerstitch-Malware kann den Datenverkehr abfangen und persistente Präsenz auf Firewalls etablieren, was schwerwiegende Auswirkungen auf die Netzwerksicherheit hat.
Realistisch schlimmster Fall: Umfassende Kompromittierung der Netzwerkinfrastruktur, unbefugter Zugriff auf sensible Daten, Abfangen des gesamten Netzwerkverkehrs und langfristige, schwer erkennbare Präsenz von Malware auf kritischen Netzwerkgeräten.
Empfehlung: Umgehende Anwendung von Patches für CVE-2024-47575 (FortiManager) und CVE-2025-61624 (FortiOS). Durchführung einer umfassenden Überprüfung der FortiManager- und FortiGate-Systeme auf Anzeichen einer Kompromittierung und Verbesserung der Überwachung auf speicherresidente Malware.
Im erfassten Bestand
- ▸CVE-2025-61624 kommt damit in 7 erfassten Meldungen der letzten 90 Tage vor.
- ▸CVE-2024-47575 stand zum Zeitpunkt dieser Meldung seit 726 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 94.8%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2024-10-23
- Patch
- unbekannt
- Zuweisende CNA
- psirt@fortinet.com
- CVSS
- 6.0 · MEDIUM
- EPSS
- 1.1%
- Über das Netz
- nein
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-16
- Patch
- unbekannt
- Zuweisende CNA
- psirt@fortinet.com
Betroffen
Telekommunikations-MSPs, die FortiManager und FortiGate-Firewalls verwenden, sowie deren Kunden, deren Netzwerke potenziell betroffen sind.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (8)
- cpe:2.3:a:fortinet:fortimanager:*:*:*:*:*:*:*:*
- cpe:2.3:a:fortinet:fortimanager:7.6.0:*:*:*:*:*:*:*
- cpe:2.3:a:fortinet:fortimanager_cloud:*:*:*:*:*:*:*:*
- cpe:2.3:a:fortinet:fortiproxy:*:*:*:*:*:*:*:*
- cpe:2.3:a:fortinet:fortiswitchmanager:*:*:*:*:*:*:*:*
- cpe:2.3:o:fortinet:fortios:*:*:*:*:*:*:*:*
- cpe:2.3:o:fortinet:fortipam:*:*:*:*:*:*:*:*
- cpe:2.3:o:siemens:ruggedcom_ape1808_firmware:-:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie, ob alle FortiManager- und FortiGate-Systeme mit den neuesten Sicherheitspatches für CVE-2024-47575 und CVE-2025-61624 aktualisiert sind.
- ▸Suchen Sie in Ihren FortiManager- und FortiGate-Protokollen nach ungewöhnlichen Anmeldeversuchen, Konfigurationsänderungen oder Dateizugriffen, die auf eine Kompromittierung hindeuten könnten.
▸ 1 weitere▾ weniger
- ▸Implementieren Sie erweiterte Überwachungsmechanismen, um speicherresidente Malware oder ungewöhnlichen Netzwerkverkehr auf Ihren FortiGate-Firewalls zu erkennen.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Der genaue Mechanismus der Peerstitch-Malware-Bereitstellung ist nicht detailliert beschrieben.
- ▸Es ist nicht spezifiziert, welche spezifischen kryptografischen Materialien gestohlen wurden.
- ▸Die genaue Art der 'stealthy' Natur der Peerstitch-Malware ist nicht näher erläutert.
- ▸Es gibt keine Informationen über die geografische Reichweite der betroffenen Kundennetzwerke.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Fortinet extern erreichbar?
- Haben wir Palo Alto extern erreichbar?
- Können wir Execution detektieren?
MITRE ATT&CK(6)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„neue Malware Peerstitch entdeckt, die eine weitere FortiOS-Schwachstelle (CVE-2025-61624) ausnutzt“
„nicht spezifiziert im Artikel“
„Angreifer nutzten eine Schwachstelle in FortiManager (CVE-2024-47575)“
„nicht spezifiziert im Artikel“
„Konfigurationen, Anmeldeinformationen und kryptografisches Material ... zu stehlen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
1
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.