Fortinet CVE-2025-25249 ถูกใช้ปล่อย PivotC2 แล้ว — CISA KEV กำหนดแพตช์ภายใน 12 ก.ย.
น้องกายEngineering
ถ้าออฟฟิศคุณมี FortiGate เปิดออกเน็ต รอบนี้ไม่ใช่แค่ “มีแพตช์เก่า” แต่มีหลักฐานว่าถูกใช้ปล่อยแบ็กดอร์แล้วครับ
เมื่อ 9 ก.ย. 2026 CISA ใส่ CVE-2025-25249 ลง KEV พร้อมกำหนดแพตช์หน่วยงานรัฐภายใน 12 ก.ย. 2026 ในชุดเดียวกับช่องโหว่ Cisco FMC และ Citrix NetScaler ตาม The Hacker News
ช่องโหว่และแคมเปญ
CVE-2025-25249 เป็น heap-based buffer overflow บน FortiOS, FortiSwitchManager และ FortiSASE ที่อาจให้ผู้โจมตีจากระยะไกลรันคำสั่งได้โดยไม่ต้องล็อกอิน
Fortinet ออกแพตช์ตั้งแต่ ม.ค. 2026 แต่รอบนี้ข่าวใหม่คือมีการใช้จริง
ตาม SecurityWeek อ้าง SOCRadar:
- ผู้โจมตีใช้ช่องโหว่นี้ปล่อย PivotC2 ซึ่งเป็น RAT (โปรแกรมควบคุมเครื่องระยะไกล) แบบ Node.js
- PivotC2 ทำได้หลายอย่าง เช่น shell, อุโมงค์ทราฟฟิก, สแกนเครือข่าย, เก็บคอนฟิก
- มีการใช้งานอย่างน้อยตั้งแต่ ก.ค. 2026
- SecurityWeek สรุปตัวเลขจาก SOCRadar ว่ามีการเล็ง IP มากกว่า 30,000 จนติดเชื้อ 178 เครื่อง (ส่วนใหญ่ในสหรัฐฯ และมีอย่างน้อยสองเคสที่ข้อมูลรั่ว)
ผมไม่ลงขั้นตอน exploit หรือสคริปต์ในบทความนี้
เวอร์ชันที่ควรไปให้ถึง
SecurityWeek ระบุแพตช์ตัวอย่างดังนี้ (หรือใหม่กว่า):
- FortiOS 7.6.4, 7.4.9, 7.2.12, 7.0.18
- FortiSwitchManager 7.2.7, 7.0.6
ตรวจเวอร์ชันจริงจาก advisory ของ Fortinet ก่อนอัปเสมอ เพราะสาย firmware มีหลาย train
สิ่งที่ทีมควรทำ
- อัปเกรด firmware ให้ถึงสายที่แก้แล้ว
- อย่าเปิด management ออกอินเทอร์เน็ต โดยไม่จำเป็น
- ล่า IoC / ตรวจพฤติกรรมผิดปกติ หลังแพตช์ เพราะเครื่องที่เคยโดนอาจยังมีแบ็กดอร์
- หมุน credential ที่เกี่ยวกับอุปกรณ์และบัญชีแอดมินที่เกี่ยวข้อง
- ถาม MSP/ผู้ดูแลว่า FortiGate ของบริษัทอยู่ในรายการเสี่ยงหรือไม่
Recap
- CVE-2025-25249 ถูกใช้ปล่อย PivotC2 ตามรายงาน SOCRadar / SecurityWeek
- CISA ใส่ KEV 9 ก.ย. 2026 กำหนดแพตช์หน่วยงานรัฐภายใน 12 ก.ย.
- แพตช์ Fortinet มีตั้งแต่ต้นปี แต่การโจมตียังเจอในอุปกรณ์ที่อัปช้า
- แพตช์อย่างเดียวไม่พอถ้าเคยถูกยึด ต้องไล่หา implant และหมุนกุญแจด้วย