Fortinet 半年前公告的 CLI 漏洞 CVE-2025-61624 列入 KEV：Unit 42 說攻擊者拿它從管理員升到 root、植入駐留記憶體的後門；公告列 19 條受影響版本線，其中 12 條未列線內修補版本、要遷移
趨勢新聞2026 年 10 月 18 日
美國網路安全暨基礎設施安全局（CISA）2026 年 10 月 16 日把 Fortinet 的 CVE-2025-61624 列入已知遭利用漏洞目錄（KEV），條目列出的處置期限是 10 月 19 日，並標示要做鑑識初判。這是 FortiOS、FortiPAM、FortiProxy 與 FortiSwitchManager 命令列介面（CLI）的路徑穿越漏洞，具管理員設定檔、至少有讀寫權限的帳號，可以用特製的指令參數寫入或刪除任意檔案。Fortinet 早在 4 月 14 日就首發公告 FG-IR-26-122 並列出修補版本，到列入 KEV 隔了 185 天。
要先有管理員帳號才能利用的漏洞，Fortinet 自評為「中」；本站的讀法是，只看這個分級容易低估它。Palo Alto Networks 的威脅研究團隊 Unit 42 在 10 月 14 日發表的調查說，攻擊者正是用它從防火牆管理員升到作業系統的 root，再植入駐留記憶體的後門。這篇回答三件事：攻擊者怎麼走到需要這個漏洞的那一步、哪些版本線有修補可升，以及官方資料裡的分數為什麼對不起來。
先偷設定檔，再用這個漏洞拿 root
Unit 42 調查的是一家電信託管服務商遭入侵的事件，它說最初的入侵發生在 2024 年 9 月，追蹤代號 CL-STA-0954（又稱 UNC5820）。攻擊者先利用 FortiManager 的 CVE-2024-47575（外界稱 FortiJump），從這台集中管理設備帶走一個壓縮檔，內含 500 多台受管 FortiGate 防火牆的執行中設定、憑證與私鑰，以及以可還原密文存放的管理員與 SSL VPN 帳密。Unit 42 寫明，它沒有調查這些防火牆所保護的客戶網路，外流的是設定與帳密，不代表這些網路都已被入侵。Unit 42 說它自己用暴力破解，確認這些密碼可以還原；攻擊者則用這些合法帳密，從外部主機登入 SSL VPN。
到這一步，攻擊者手上是管理員帳號，但 Unit 42 指出，FortiOS 管理員（包括 super_admin）使用的管理命令列受到限制，沒有底層殼層，也不能直接控制設備的檔案系統或執行中的程序。Unit 42 說，CVE-2025-61624 出在 CLI 的 system.auto-script（自動腳本）功能：腳本物件的名稱沒有過濾，取名為「../../../../setup」這類帶路徑穿越字元的名稱，腳本內容就會寫到檔案系統的任意位置，並以 root 權限執行。攻擊者用這個方法，在部分防火牆植入名為 PEERSTITCH 的 ARM64 惡意程式，它的注入器先從攻擊者主機下載到磁碟，執行後刪除自己，之後程式碼駐留在記憶體；它不開監聽埠、也不主動對外連線，改為注入記錄日誌的 miglogd 與處理 IPsec VPN 的 iked 兩個常駐程式，借它們的正常流量通訊。攻擊者另用同一手法改寫 Apache 的 mod_md 設定，把憑證驗證流程變成反向殼層。
兩份文件對漏洞效果的寫法有一處不同：Fortinet 公告寫「寫入或刪除」任意檔案，Unit 42 寫可以「以 root 讀寫」任意檔案。Unit 42 的報告沒有寫明攻擊者是在哪一天利用 CVE-2025-61624。CISA 寫進 CVE 記錄的 SSVC 評估（一種漏洞處置優先序的判斷框架）是：已遭主動利用、可自動化一項評為「否」、技術影響為「完全」，參考資料列有這篇 Unit 42 報告。依 CISA 約束性作業指令 BOD 26-04 的處置時程表，對外開放的資產上，KEV 漏洞技術影響為完全，期限就是 3 個日曆天並要做鑑識初判；若資產不對外開放，因可自動化評為「否」，期限是 14 天。這個指令約束的是美國聯邦文職行政部門（FCEB）機關，且由各機關逐一認定資產是否對外開放；這筆條目的鑑識初判欄是「是」。
19 條受影響版本線，12 條公告未列線內修補
本站逐列數 Fortinet 公告的修補表。四個產品共有 19 條受影響的版本線：FortiOS 5 條、FortiPAM 8 條、FortiProxy 4 條、FortiSwitchManager 2 條。其中 7 條公告列有線內修補版本：FortiOS 7.6 升到 7.6.5 以上、7.4 升到 7.4.10 以上，FortiProxy 7.6 升到 7.6.5 以上、7.4 升到 7.4.12 以上，FortiPAM 1.7 升到 1.7.1 以上，FortiSwitchManager 7.2 升到 7.2.8 以上、7.0 升到 7.0.7 以上。另外 12 條寫的是「所有版本」受影響、要「遷移到已修補的版本」，包括 FortiOS 7.2、7.0、6.4，FortiProxy 7.2、7.0，以及 FortiPAM 1.0 到 1.6 共 7 條線。FortiPAM 1.8 不受影響。
換句話說，還停在公告列出的 FortiOS 7.2、7.0、6.4 的設備，修補代表換到另一條已修補的版本線，不是在原線上裝一個小版本。公告另列有虛擬修補（FortiGuard IPS 特徵 FG-VD-59270.0day，FMWP 資料庫更新 25.120）。公告頁目前標示「已知遭利用：是」，但機器可讀的 CSAF 檔修訂紀錄只有 4 月 14 日首發一筆，公告頁的時間軸也只有這一筆，從這兩份文件看不出這個標示是何時加上的。公告寫這個漏洞是內部發現。
Fortinet 的 CVE 記錄裡，「解決方式」欄另外列了升級到「即將推出」的 FortiOS 8.0.0、升級到 FortiPAM 1.8.0 以上，寫 FortiSASE 已在 25.4.b 修正、客戶不需動作，以及 FortiSwitch 7.4.9、7.6.5 與「即將推出」的 8.0.0；FortiSASE 與 FortiSwitch 不在同一份記錄的受影響產品清單裡，也不在公告的修補表上。西門子 5 月 12 日把這個漏洞加進安全公告 SSA-975644，搭載 Fortinet 次世代防火牆（NGFW）的 RUGGEDCOM APE1808 應用平台，防火牆版本低於 7.4.10 都受影響。
分數欄對不起來
Fortinet 公告頁寫 CVSS 3.1 基本分數 6.0、時間分數 5.4。cve.org 上 Fortinet 那份記錄，以及公告的 CSAF 檔，「基本分數」欄都寫 5.4，向量字串帶著利用成熟度等時間指標。本站用 CVSS 3.1 公式重算，向量的基本部分是 6.0，乘上時間指標（E:P、RL:O、RC:C）後才是 5.4；也就是說，這兩份資料的基本分數欄與向量算出的基本分數不一致，數值剛好等於時間分數，原因從公開資料看不出來。美國國家弱點資料庫（NVD）自評的基本分數是 6.5，和 Fortinet 的向量只差攻擊途徑：Fortinet 標「本機」，NVD 標「網路」。這幾個數字都落在「中」級。本站的讀法：這次的案例顯示，攻擊者取得管理員權限後，仍可用它進一步取得 root，只看分數會低估這一步的分量。