CVE-2025-61624 : Fortinet FortiOS path traversal exploité — CISA KEV deadline 19 oct

Les faits

Le 16 octobre 2026, la CISA a ajouté CVE-2025-61624 à son catalogue KEV (Known Exploited Vulnerabilities), fixant une échéance de remédiation au 19 octobre 2026 pour les agences civiles fédérales américaines (FCEB — Federal Civilian Executive Branch). Ce délai exceptionnel de seulement trois jours — l'un des plus courts jamais fixés dans le catalogue KEV — souligne la gravité et l'urgence de l'exploitation active constatée dans la nature.

CVE-2025-61624 est une vulnérabilité de type Path Traversal (CWE-22 : Improper Limitation of a Pathname to a Restricted Directory) affectant plusieurs produits Fortinet : FortiOS (le système d'exploitation des pare-feux FortiGate), FortiPAM (la solution de gestion des accès privilégiés de Fortinet), FortiProxy (le proxy de sécurité web) et FortiSwitchManager (la plateforme de gestion centralisée des switchs FortiSwitch). La vulnérabilité est référencée dans l'avis officiel Fortinet PSIRT sous la référence FG-IR-24-389.

Le score CVSS 3.1 officiel de cette vulnérabilité est de 6,5 avec le vecteur CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H, catégorisé Medium. Si ce score peut paraître modéré, il ne reflète pas la réalité opérationnelle de la menace : la présence dans le catalogue KEV de la CISA atteste d'une exploitation active et confirmée en conditions réelles, ce qui prime sur le score théorique. La CISA a explicitement déclaré que "l'exploitation active de ce type de vulnérabilités présente un risque significatif pour les organisations, indépendamment du score CVSS".

Techniquement, la vulnérabilité permet à un attaquant authentifié possédant un profil administrateur avec des droits de lecture-écriture d'écrire ou de supprimer des fichiers arbitraires sur le système de fichiers Linux sous-jacent au FortiOS. L'exploitation se fait via des commandes CLI spécifiques qui ne neutralisent pas correctement les séquences de traversée de chemin (séquences "../" et leurs variantes encodées — %2F, ....//). Un attaquant contrôlant un compte admin FortiOS peut ainsi modifier des fichiers de configuration critiques, injecter des backdoors persistants dans des répertoires système, ou supprimer des journaux pour effacer les traces de son intrusion.

La contrainte d'authentification avec profil administrateur est souvent présentée comme atténuante, mais dans le contexte KEV, elle doit être interprétée différemment. D'après les analyses de Tenable, SentinelOne et Greenbone Networks, les acteurs malveillants exploitant CVE-2025-61624 ont vraisemblablement obtenu l'accès admin via : l'exploitation d'une vulnérabilité d'authentification FortiOS préalable (CVE-2024-21762 — CVSS 9.8, CVE-2024-55591 — CVSS 9.6, CVE-2025-32756 — toutes des vulnérabilités FortiOS à fort impact documentées dans les 24 derniers mois), l'utilisation de credentials volés lors de campagnes de credential stuffing ciblant des interfaces FortiOS exposées sur Internet, ou des comptes admin dont le mot de passe par défaut n'a pas été modifié.

Le patch pour CVE-2025-61624 était disponible depuis 2025 (FG-IR-24-389). Le fait que la CISA l'ajoute au KEV en octobre 2026 — plus d'un an après la disponibilité du correctif — illustre un phénomène récurrent et préoccupant : des organisations ne patchent pas les équipements périmètriques critiques dans des délais raisonnables. Greenbone Networks a signalé dans son rapport Q3 2026 que des milliers d'instances FortiOS non patchées restaient accessibles sur Internet. Cette exposition prolongée est précisément ce que les acteurs malveillants exploitent activement.

La Binding Operational Directive 22-01 de la CISA (BOD 22-01) impose aux agences civiles fédérales américaines de remédier à toutes les vulnérabilités KEV dans les délais fixés, sous peine de sanctions. La directive est explicite : "ces vulnérabilités représentent un risque significatif pour le gouvernement fédéral et sont activement exploitées". Bien que cette directive ne s'applique qu'aux agences fédérales américaines, la CISA recommande fortement à toutes les organisations — publiques et privées — de traiter les vulnérabilités KEV avec la même urgence.

En France, le CERT-FR a également émis des avis de sécurité concernant les produits Fortinet en 2025-2026, et l'ANSSI recommande de manière générale l'application des patches des équipements périmètriques dans les 72 heures suivant leur publication pour les systèmes exposés sur Internet. La chaîne d'exploitation probable implique CVE-2025-61624 comme deuxième étape d'une attaque en plusieurs phases, après compromission initiale via une vulnérabilité d'authentification FortiOS.

Impact et exposition

FortiOS équipe des centaines de milliers de pare-feux FortiGate déployés dans les entreprises, les opérateurs télécom, les institutions gouvernementales et les infrastructures critiques mondiales. En France, Fortinet est l'un des leaders du marché de la sécurité réseau périmétrique, avec une forte présence dans les secteurs de l'énergie (opérateurs, industriels), de la santé (hôpitaux, assureurs), de l'industrie manufacturière et des collectivités territoriales. Toute organisation utilisant FortiOS avec une version vulnérable et dont un compte admin a été compromis est directement exposée.

L'exploitation active in-the-wild documentée par la CISA est cohérente avec le profil typique des attaques sur les équipements Fortinet observées par Mandiant, CrowdStrike et l'ANSSI en 2024-2026 : des groupes APT d'origine présumée étatique (notamment associés à la Chine et à la Russie) utilisent les pare-feux compromis comme point d'entrée silencieux dans les réseaux d'entreprise, avec une persistance pouvant durer plusieurs mois avant détection. CVE-2025-61624 est particulièrement adaptée à cet objectif car elle permet d'injecter des backdoors persistants dans le système de fichiers FortiOS, potentiellement au-delà des vérifications d'intégrité standard.

Les organisations les plus exposées sont celles qui n'ont pas modifié les identifiants admin par défaut de FortiOS, n'ont pas activé le MFA pour les comptes admin, n'ont pas appliqué le patch FG-IR-24-389 malgré sa disponibilité depuis 2025, ou maintiennent l'interface d'administration FortiOS accessible depuis Internet (pratique courante dans les PME et les organisations avec des équipes IT réduites). La conjonction de ces facteurs avec l'exploitation active fait de CVE-2025-61624 une priorité de remédiation absolue, indépendamment de son score CVSS "médium".

Recommandations immédiates

• Appliquer immédiatement le patch FortiOS référencé dans l'avis Fortinet PSIRT FG-IR-24-389 — consulter la matrice des versions affectées/corrigées dans l'avis Fortinet PSIRT pour identifier la version cible selon votre branche (6.x, 7.x, 7.2.x, 7.4.x)
• Auditer tous les comptes administrateurs FortiOS : révoquer les sessions actives, réinitialiser les mots de passe de tous les comptes admin, activer la MFA (Fortinet Two-Factor Authentication) pour chaque compte admin
• Désactiver immédiatement l'accès à l'interface d'administration FortiOS (HTTPS port 443/8443 et SSH port 22) depuis Internet — restreindre aux plages IP de management internes uniquement via une règle de politique d'administration locale
• Vérifier l'intégrité du système de fichiers FortiOS en comparant les checksums des fichiers de configuration critiques avec des valeurs de référence — des modifications inattendues peuvent indiquer une compromission via CVE-2025-61624
• Examiner les logs FortiOS (log type=event subtype=system) pour des commandes CLI inhabituelles exécutées avec des comptes admin, notamment des accès à des répertoires système non standards ou des opérations de fichiers suspectes
• Si une compromission est suspectée : réinitialiser l'équipement en mode usine depuis un firmware officiel téléchargé directement depuis le portail Fortinet Support, puis réappliquer la configuration depuis un backup antérieur à la date de compromission suspectée