CVE-2025-61624 a été publiée le 14 avril 2026. Elle est entrée au catalogue CISA KEV le 16 octobre 2026 — six mois plus tard — avec une échéance au 19 octobre.
Particularité : c'est une faille notée MEDIUM (6.5), qui exige un compte administrateur avec des droits en écriture. Elle ne permet pas d'entrer sur l'équipement. Elle sert à ceux qui y sont déjà.
C'est le deuxième ajout Fortinet au KEV ce mois-ci, après FortiMail le 1er octobre.
La vulnérabilité
| Champ | Valeur |
|---|---|
| CVE | CVE-2025-61624 |
| CVSS 3.1 (NVD) | 6.5 (MEDIUM) — AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H |
| CVSS 3.1 (Fortinet) | 6.0 (MEDIUM) — AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H |
| Type | Path traversal (CWE-22) |
| Privilèges requis | Administrateur, au moins lecture-écriture |
| Publication NVD | 2026-04-14 |
| Ajout CISA KEV | 2026-10-16 |
| Échéance CISA | 2026-10-19 |
Description NVD (extrait) :
An Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') [CWE-22] vulnerability in Fortinet FortiOS […] may allow an authenticated attacker with admin profile and at least read-write permissions to write or delete arbitrary files via specific CLI commands.
Deux vecteurs pour la même faille
NVD et Fortinet ne notent pas la faille de la même façon : NVD retient un accès réseau (AV:N, 6.5), Fortinet un accès local (AV:L, 6.0). La différence vient de la lecture des « commandes CLI » : la CLI d'un FortiGate est joignable à distance (SSH, console web), d'où le choix de NVD.
Dans les deux cas, le point qui fait baisser le score est le même : PR:H, privilèges élevés requis.
Pourquoi une faille « admin requis » finit au KEV
Une faille qui demande un compte administrateur paraît sans intérêt : si l'attaquant est admin, il a déjà la main. Sauf que écrire ou supprimer des fichiers arbitraires va au-delà de ce que permet l'administration normale de l'équipement. C'est typiquement ce qui sert à :
- installer une persistance qui survit aux redémarrages et aux mises à jour de configuration ;
- effacer des traces dans le système de fichiers ;
- modifier des fichiers système auxquels l'interface d'administration ne donne pas accès.
NVD ne décrit pas la campagne d'exploitation. Mais le profil de la faille correspond à une étape post-compromission : un attaquant obtient un accès admin par une autre faille ou des identifiants volés, puis utilise CVE-2025-61624 pour s'installer durablement. L'entrée KEV exige d'ailleurs un triage forensique (directive BOD 26-04) en plus de la mise à jour.
Versions affectées et corrigées
| Produit | Branche | Versions affectées | Première version hors plage (NVD) |
|---|---|---|---|
| FortiOS | 7.6 | 7.6.0 → 7.6.4 | 7.6.5 |
| FortiOS | 7.4 | 7.4.0 → 7.4.9 | 7.4.10 |
| FortiOS | 7.2 / 7.0 / 6.4 | toutes | migrer vers 7.4 ou 7.6 |
| FortiProxy | 7.6 | 7.6.0 → 7.6.4 | 7.6.5 |
| FortiProxy | 7.4 | 7.4.0 → 7.4.11 | 7.4.12 |
| FortiProxy | 7.2 / 7.0 | toutes | migrer vers 7.4 ou 7.6 |
| FortiPAM | 1.0 → 1.7 | 1.0 à 1.6 (toutes), 1.7.0 | 1.7.1 |
| FortiSwitchManager | 7.2 | 7.2.0 → 7.2.7 | 7.2.8 |
| FortiSwitchManager | 7.0 | 7.0.0 → 7.0.6 | 7.0.7 |
⚠️ Ces numéros sont les bornes issues de NVD, pas forcément la version à installer. Vérifie la version recommandée pour ta branche dans l'advisory Fortinet FG-IR-26-122.
Le cas des branches « toutes versions » : FortiOS 7.2, 7.0 et 6.4, et FortiProxy 7.2 et 7.0, n'ont pas de version corrigée dans les données NVD. La réponse est une migration vers une branche maintenue.
Siemens RUGGEDCOM APE1808 figure aussi dans la configuration NVD (l'appliance embarque une solution Fortinet) : Siemens publie sa propre recommandation dans l'advisory SSA-975644.
Vérifier ta version :
get system status
Six mois de délai, encore
Le schéma est le même que pour CVE-2025-25249 en septembre : publication sans exploitation connue, score modéré, la CVE rejoint le backlog. Des mois plus tard, l'exploitation est constatée et la CISA donne trois jours.
Ici, le score est encore plus trompeur. Une 6.5 avec PR:H est exactement le type de faille qu'une équipe raisonnable laisse de côté. Or c'est celle qui permet à un attaquant de rester sur un équipement déjà compromis.
Détection
- Comptes administrateurs inconnus ou récemment créés :
show system admin - Connexions admin depuis des adresses inhabituelles, en particulier en SSH
- Commandes CLI inhabituelles dans les journaux d'événements, autour de la manipulation de fichiers
- Fichiers présents ou disparus sans lien avec une mise à jour : la faille permet d'écrire et de supprimer
- Trafic sortant initié par l'équipement lui-même
execute log filter category event
execute log display
get system admin list
Mitigation
1. Mettre à jour vers une version corrigée de ta branche
L'échéance CISA est le 19 octobre.
2. Traiter la question des comptes admin
La faille exige un compte administrateur : c'est là que se trouve la vraie défense.
- Faire l'inventaire des comptes admin et supprimer ceux qui ne servent plus
- Imposer l'authentification multifacteur sur les comptes d'administration
- Restreindre l'administration aux
trusted hosts, jamais depuis Internet - Réduire les profils en lecture-écriture au strict nécessaire
3. Sortir des branches non corrigées
FortiOS 7.2, 7.0, 6.4 et FortiProxy 7.2, 7.0 : aucune mesure temporaire ne remplace une branche maintenue.
4. Si tu suspectes une compromission
- Considérer que la mise à jour ne supprime pas des fichiers déjà déposés
- Vérifier l'intégrité du firmware avec les outils Fortinet
- Faire tourner tous les identifiants admin, ainsi que les secrets VPN, LDAP et RADIUS
- Comparer la configuration à une sauvegarde antérieure à la période suspecte
Pourquoi surveiller en continu votre parc Fortinet
Une MEDIUM qui exige un compte admin ne déclenche aucune alerte chez la plupart des équipes. Son entrée au KEV, six mois après, devrait en déclencher une immédiatement, à condition de savoir quelles versions tournent sur chaque équipement.
Avec cveo.tech, inventorie tes équipements Fortinet avec leur version exacte, et reçois une alerte automatique dès qu'une CVE qui les concerne entre au catalogue CISA KEV, quel que soit son score.