Fortinet : CVE-2025-61624 et l'implant PEERSTITCH

CVE-2025-61624 est une faille Fortinet discrète, à peine notée 5,4 sur 10, mais la CISA l'a tout de même ajoutée à son catalogue des vulnérabilités activement exploitées (KEV) le 16 octobre 2026, avec une échéance de correction fixée au 19 octobre pour les agences fédérales américaines. Selon un rapport de Palo Alto Networks Unit 42 publié le 16 octobre, cette faille a servi de deuxième étage pour déployer PEERSTITCH, un implant furtif qui vit uniquement en mémoire sur des pare-feu FortiGate gérés par un fournisseur de services télécoms. L'épisode illustre un principe que beaucoup d'équipes sous-estiment : un score CVSS modéré ne dit rien de la valeur d'une faille pour un attaquant déjà présent sur le réseau.

Qu'est-ce que la faille CVE-2025-61624 ?

CVE-2025-61624 est une vulnérabilité de traversée de répertoire (CWE-22) dans l'interpréteur de commandes CLI de FortiOS, FortiProxy, FortiSwitchManager et FortiPAM. Selon la fiche de Fortinet, un attaquant déjà authentifié avec un profil administrateur et des droits de lecture-écriture peut, en forgeant les arguments de certaines commandes existantes, écrire ou supprimer des fichiers arbitraires sur l'appareil. Elle ne permet donc pas, seule, d'entrer sur un pare-feu : elle sert à consolider un accès déjà obtenu.

Les versions concernées couvrent une large partie du parc Fortinet encore en service : FortiOS 6.4 à 7.6.4, FortiProxy 7.0 à 7.6.4, FortiSwitchManager 7.0 et 7.2, et FortiPAM de la 1.0 à la 1.7. Fortinet a corrigé la faille en avril 2026, avec les versions FortiOS 7.4.10, 7.6.5 et 8.0.0, FortiProxy 7.4.12 et 7.6.5, FortiPAM 1.7.1 et 1.8.0, et FortiSwitchManager 7.0.7 et 7.2.8.

FortiJump, le point d'entrée de septembre 2024

Pour comprendre comment CVE-2025-61624 a pu servir, il faut remonter à l'accès initial. Selon Unit 42, l'intrusion documentée dans ce rapport remonte à septembre 2024 et repose sur CVE-2024-47575, surnommée « FortiJump », une faille critique (CVSS 9,8) d'absence d'authentification dans le démon fgfmd de FortiManager. Elle permettait à un attaquant distant non authentifié d'enregistrer un faux équipement auprès de la plateforme de gestion, puis d'en extraire une archive de configuration complète. Fortinet avait corrigé cette faille dès octobre 2024, mais l'acteur suivi par Unit 42 sous le nom CL-STA-0954 (aussi appelé UNC5820) avait déjà pris pied avant le correctif.

L'archive exfiltrée via FortiManager contenait des informations sur plus de 500 pare-feux FortiGate gérés par un fournisseur de services télécoms non nommé, dont des éléments de configuration et du matériel cryptographique. C'est dans ce contexte que CVE-2025-61624 est entrée en jeu, bien plus tard dans la chaîne : Unit 42 explique qu'elle a permis de déployer PEERSTITCH directement sur certains de ces FortiGate, en contournant des vérifications appliquées aux sessions VPN marquées.

À retenir : aucune des deux failles n'agit seule. FortiJump a ouvert la porte d'entrée en 2024 ; CVE-2025-61624, bien plus discrète sur le papier, a permis d'y installer un implant durable près de deux ans plus tard.

PEERSTITCH : un implant qui ne touche jamais le disque

PEERSTITCH est un exécutable Linux ARM64 écrit en C, conçu pour fonctionner exclusivement en mémoire. Unit 42 décrit un mode opératoire volontairement minimaliste : l'implant ne dépose aucun fichier persistant sur le disque, n'ouvre aucun port d'écoute et n'initie aucune connexion sortante directe. Il s'injecte à la place dans deux processus légitimes de FortiOS, le démon de journalisation et le service VPN, et communique entre eux via une forme de canal interprocessus caché, ce qui lui permet de modifier le traitement de certaines sessions VPN sans laisser de trace sur disque.

Les attaquants ont complété ce dispositif par un second canal de commande, via le module ACME du serveur Apache embarqué, pour ouvrir un reverse shell SSH indépendant de PEERSTITCH. Après coup, ils ont systématiquement effacé leurs traces : arrêt des démons de journalisation, suppression des journaux de plantage, suppression des comptes administrateurs créés pour l'occasion et réécriture du fichier de configuration ACME.

Pourquoi l'outil d'intégrité de Fortinet ne détecte-t-il pas PEERSTITCH ?

L'Integrity Checker Tool de Fortinet compare l'état des fichiers sur le disque à une référence connue. Comme PEERSTITCH ne modifie et ne dépose rien de durable sur le système de fichiers, cet outil ne voit tout simplement rien d'anormal. Selon Unit 42, seule une inspection de la mémoire vive permet de le repérer, en recherchant des régions mémoire marquées lecture-écriture-exécution (RWX) de façon anormale, ou des patches de type NOP dans le code des deux démons visés.

Les indicateurs techniques publiés par Unit 42 restent limités, et leur absence sur un équipement ne garantit pas son intégrité : serveur de commande observé à l'adresse 23.240.77[.]233 sur le port 8085, et fichiers associés à l'implant nommés pM.js, a.js (ou index.js), a.wasm (ou index.wasm), b.js (ou ipssem.js) et dd (ou lldprx). Le port TCP 8550 et l'adresse 169.254.0.1 apparaissent aussi comme motifs dans les communications observées, sans qu'il s'agisse de ports réellement en écoute.

Comment se protéger ?

• Appliquer sans délai le correctif de CVE-2025-61624 sur FortiOS, FortiProxy, FortiSwitchManager et FortiPAM, même si son score CVSS de 5,4 la ferait classer comme secondaire dans un plan de correctifs classique : son inscription au catalogue CISA KEV change la priorité.
• Traiter toute compromission de FortiManager comme un événement affectant l'ensemble des équipements gérés, pas seulement la plateforme elle-même : les identifiants et le matériel cryptographique extraits via une archive de configuration restent valides tant qu'ils ne sont pas renouvelés individuellement sur chaque FortiGate concerné.
• Ne pas se contenter de l'Integrity Checker Tool pour écarter une compromission de ce type : complétez par une recherche en mémoire vive et par un schéma de compromission pour cartographier les étapes à vérifier.
• Isoler strictement les interfaces de gestion (FortiManager, accès admin des FortiGate) selon une logique de confiance minimale, en segmentant leur accès réseau.
• Rechercher les indicateurs publiés par Unit 42 dans les journaux réseau et les flux sortants, tout en gardant à l'esprit qu'ils proviennent d'un seul incident documenté.

Cet épisode rappelle d'autres compromissions d'équipements de périphérie révélées ces derniers mois : la chaîne zero-day visant Ivanti Connect Secure, l'implant découvert sur BeyondTrust, ou les failles critiques corrigées dans Cisco Nexus. Pour resituer la portée des scores évoqués ici, notre article comprendre le score CVSS détaille comment une faille « moyenne » peut rester critique en contexte, et notre guide sur les indicateurs de compromission (IOC) et d'attaque (IOA) explique comment structurer une recherche de compromission après ce type d'alerte. Selon SecurityWeek, la CISA demande aux agences fédérales américaines de corriger CVE-2025-61624 en urgence, signe que l'exploitation dépasse le cadre du seul incident documenté par Unit 42.

Points clés

• CVE-2025-61624 (CVSS 5,4, FortiOS/FortiProxy/FortiSwitchManager/FortiPAM) a été ajoutée au catalogue CISA KEV le 16 octobre 2026, avec une échéance fédérale au 19 octobre.
• Elle n'a pas servi d'accès initial : celui-ci remonte à septembre 2024 via CVE-2024-47575 (FortiJump) sur FortiManager, exploitée par l'acteur CL-STA-0954/UNC5820.
• PEERSTITCH, l'implant déployé grâce à CVE-2025-61624, vit uniquement en mémoire sur FortiOS et échappe à l'Integrity Checker Tool de Fortinet.
• Plus de 500 pare-feux FortiGate gérés par un fournisseur télécoms non nommé figuraient dans l'archive de configuration exfiltrée.
• La détection exige une inspection de la mémoire vive ; la correction de FortiManager seule ne suffit pas, le matériel cryptographique volé doit être renouvelé équipement par équipement.