Fortinet製品のコード実行の脆弱性、PivotC2 RAT攻撃で悪用

脅威アクターがFortinet製品の未認証のリモートコード実行(RCE)脆弱性を悪用し、Node.js製のRATを展開していることが、SOCRadarの報告で明らかになりました。

CVE-2025-25249として追跡されているこの脆弱性はヒープベースのバッファオーバーフローの問題とされ、CVSSスコアは7.4です。この深刻度の高い不具合は、FortiOSおよびFortiSwitchManagerにおいて1月に修正パッチが提供されていました。

Fortinetはアドバイザリの中で、この不具合について「特別に細工されたリクエストを通じて、リモートの未認証攻撃者が任意のコードやコマンドを実行できる可能性がある」と指摘しています。

今週、SOCRadarは、ハッカーがこのセキュリティ上の欠陥を悪用し、脆弱なデバイスにPivotC2 RATを展開していると警告しました。

FortiGateを標的とした侵害後利用ツールであるこのバックドアは、攻撃者に対話型シェルアクセス、トラフィックのトンネリング、ネットワークスキャン、設定情報の収集といった機能を提供します。

SOCRadarは、PivotC2がAIを活用して開発された可能性が高いとみており、脅威アクターは少なくとも2026年7月以降、この攻撃にこのツールを使用してきたと考えています。

SOCRadarは「脅威アクターは3万を超えるIPアドレスを標的とし、その結果178台のデバイスがPivotC2に感染しました」と述べています。

攻撃は主に米国の組織を標的としており、少なくとも2件の侵入でデータ窃取が確認されています。

このサイバーセキュリティ企業によると、これらの攻撃はロシア語を話すサイバー犯罪者によって実行されている可能性が高いとのことです。

水曜日、米国のサイバーセキュリティ機関CISAはCVE-2025-25249を既知の悪用された脆弱性(KEV)カタログに追加し、BOD 26-04の要件に基づき、連邦機関に対して3日以内のパッチ適用を求めました。

この不具合に対する修正パッチは、FortiOSのバージョン7.6.4、7.4.9、7.2.12、7.0.18、およびFortiSwitchManagerのバージョン7.2.7、7.0.6で提供されています。すべての組織に対し、これらのバージョンまたはそれ以降のバージョンへのアップデートが推奨されています。