Wprowadzenie do problemu / definicja luki
W grudniu 2025 r. zwrócono uwagę na bardzo niebezpieczny scenariusz: tysiące urządzeń Fortinet (m.in. FortiOS/FortiGate, FortiProxy, FortiSwitchManager oraz FortiWeb) ma włączoną funkcję “Allow administrative login using FortiCloud SSO” i jednocześnie wystawiony na Internet panel administracyjny. Internetowe skany wskazały ponad 25 000 takich adresów IP, co przy aktywnych próbach nadużyć przekłada się na realne ryzyko przejęcia kont administracyjnych i wycieku konfiguracji.
Rdzeniem problemu są dwie podatności:
- CVE-2025-59718 – dotyczy wielu produktów (w praktyce: FortiOS/FortiProxy/FortiSwitchManager) i pozwala ominąć uwierzytelnianie FortiCloud SSO,
- CVE-2025-59719 – analogiczny wektor dla FortiWeb.
W obu przypadkach chodzi o błędną weryfikację podpisu kryptograficznego w przepływie SAML (klasa błędu CWE-347), co umożliwia atakującemu obejście logowania SSO bez posiadania prawidłowych poświadczeń.
W skrócie
- Skala ekspozycji: Shadowserver raportował >25 tys. IP z “odciskiem” FortiCloud SSO; w samych USA ~5,4 tys., w Indiach ~2 tys.
- Aktywne nadużycia: Arctic Wolf obserwował intruzje z użyciem “malicious SSO logins” od 12 grudnia 2025.
- Typowy ciąg ataku: udane logowanie admin przez SSO → eksport/ściągnięcie pliku konfiguracji przez GUI.
- Priorytet naprawy: CISA dodała CVE-2025-59718 do KEV 16 grudnia 2025, a w NVD widać termin działań do 23 grudnia 2025 (kontekst KEV).
Kontekst / historia / powiązania
Warto podkreślić jedną rzecz, która ułatwia przeoczenie ryzyka w organizacjach: FortiCloud SSO nie musi być włączone “od zawsze”.
CERT Polska zwraca uwagę, iż funkcja jest domyślnie wyłączona, ale w praktyce bywa automatycznie włączana podczas rejestracji urządzenia w FortiCare z poziomu GUI, jeżeli administrator nie odznaczy odpowiedniej opcji.
W tym samym czasie (grudzień 2025) obserwujemy typowy “pattern” dla urządzeń brzegowych (edge): szybkie przejście od publikacji poprawek do masowych skanów i prób nadużyć, szczególnie gdy panel administracyjny jest dostępny z Internetu. W omawianym incydencie potwierdzono także, iż liczba instancji z włączonym SSO i widocznym GUI jest zaskakująco duża.
Analiza techniczna / szczegóły luki
Na czym polega podatność?
Z technicznego punktu widzenia obie podatności sprowadzają się do tego, iż urządzenie akceptuje spreparowaną odpowiedź SAML w procesie FortiCloud SSO, ponieważ weryfikacja podpisu kryptograficznego jest niewłaściwa (CWE-347). Skutkiem jest obejście uwierzytelniania – atakujący może uzyskać sesję administracyjną bez prawidłowego logowania.
Co robią atakujący w praktyce?
BleepingComputer oraz Arctic Wolf opisują spójny schemat:
- logowanie do panelu jako admin metodą SSO z nietypowego adresu źródłowego,
- następnie akcja przez GUI typu download/export system configuration,
- a dalej – analiza konfiguracji (interfejsy, polityki, usługi wystawione na Internet, hashe haseł).
Arctic Wolf opublikował też przykładowe adresy źródłowe (IOC) powiązane z obserwowanymi, złośliwymi logowaniami SSO oraz wskazał, iż ruch pochodził z wybranych dostawców hostingu.
Jakie wersje są podatne i jakie są “fixed”?
Kanadyjskie Cyber Centre podaje jednoznacznie, do jakich wersji należy zaktualizować systemy (przykłady):
- FortiOS: 7.6.4+, 7.4.9+, 7.2.12+, 7.0.18+
- FortiProxy: 7.6.4+, 7.4.11+, 7.2.15+, 7.0.22+
- FortiSwitchManager: 7.2.7+, 7.0.6+
- FortiWeb: 8.0.1+, 7.6.5+, 7.4.10+
Praktyczne konsekwencje / ryzyko
Najbardziej “toksyczny” element tego typu incydentów to pobranie konfiguracji. Taki plik potrafi ujawnić:
- topologię i podsieci (network layout),
- reguły firewall / polityki,
- listę usług wystawionych na Internet,
- konta administracyjne i artefakty uwierzytelniania (w tym hashe, które w sprzyjających warunkach da się łamać offline).
W praktyce oznacza to, iż choćby jeżeli atakujący “tylko” zaloguje się i ściągnie konfigurację, konsekwencje mogą być długofalowe: dalsza eskalacja, pivot do sieci wewnętrznej, przygotowanie kampanii ransomware albo trwałe utrzymanie dostępu.
Rekomendacje operacyjne / co zrobić teraz
Poniżej playbook w kolejności, która zwykle działa najlepiej operacyjnie:
- Zidentyfikuj ekspozycję GUI
- Czy panel administracyjny (HTTPS/GUI) jest dostępny z Internetu?
- Jeśli tak: ogranicz dostęp (VPN / allowlista / segmentacja), zanim przejdziesz dalej.
- Natychmiast aktualizuj do wersji naprawionych
- Kieruj się listą “Solution/Upgrade to …” podaną przez Cyber Centre (sekcja powyżej).
- Tymczasowo wyłącz logowanie FortiCloud SSO (jeśli nie możesz od razu zaktualizować)
- CERT Polska oraz Arctic Wolf wskazują możliwość wyłączenia FortiCloud SSO także z CLI:config system global set admin-forticloud-sso-login disable end
- Sprawdź logi pod kątem wzorca nadużycia
- Szukaj zdarzeń typu “admin login successful” z metodą sso oraz krótkiej sekwencji działań administracyjnych po logowaniu (np. pobranie konfiguracji przez GUI).
- Porównaj adresy źródłowe z IOC publikowanymi przez Arctic Wolf.
- Higiena poincydentowa (jeśli widzisz oznaki kompromitacji)
- rotacja haseł admin, przegląd kont i uprawnień,
- weryfikacja zmian w konfiguracji i regułach,
- jeśli plik konfiguracyjny mógł wyciec: traktuj to jako wyciek informacji wrażliwych i dostosuj model zagrożeń (np. zmiana kluczy/sekretów, przegląd ekspozycji usług).
Różnice / porównania z innymi przypadkami (jeśli dotyczy)
W tym przypadku szczególnie istotne są dwie różnice względem “klasycznych” luk w GUI/SSL-VPN:
- Warunek aktywacji wektora: atak dotyczy sytuacji, gdy jest włączona funkcja FortiCloud SSO dla logowania administracyjnego (co może się stać “przy okazji” rejestracji w FortiCare).
- Wektor SAML/SSO: zamiast błędu w endpointach webowych, problem siedzi w obsłudze i weryfikacji SAML, co ułatwia tworzenie “logic exploitów” (obejścia), a niekoniecznie typowych exploitów pamięciowych.
Podsumowanie / najważniejsze wnioski
- Jeśli masz produkty Fortinet i kiedykolwiek rejestrowałeś je w FortiCare, sprawdź, czy nie jest włączone FortiCloud SSO dla logowania admina.
- Traktuj tę sprawę jako pilną: potwierdzono aktywne nadużycia (od 12 grudnia 2025), a CVE-2025-59718 trafiło do kontekstu KEV (16 grudnia 2025; termin działań do 23 grudnia 2025 w NVD).
- “Must-have” to: patch + ograniczenie dostępu do GUI + weryfikacja logów pod kątem logowań SSO i eksportów konfiguracji.
Źródła / bibliografia
- BleepingComputer – skala ekspozycji i kontekst Shadowserver/SSO fingerprinting (BleepingComputer)
- Arctic Wolf – obserwacje nadużyć, IOCs, przykładowe logi oraz wersje naprawione (Arctic Wolf)
- CERT Polska (moje.cert.pl) – opis warunku włączenia SSO i rekomendacje + CLI (moje.cert.pl)
- NVD (NIST) – opis CVE-2025-59718 oraz adnotacja dot. KEV/due date (nvd.nist.gov)
- Canadian Centre for Cyber Security – alert AL25-019 z listą wersji i zaleceń (Canadian Centre for Cyber Security)
