CVE-2025-61624
Vulnerabilidade de Path Traversal em Múltiplos Produtos da Fortinet
FortiOS, FortiPAM, FortiProxy e FortiSwitchManager contêm uma vulnerabilidade de path traversal que pode permitir que um atacante autenticado com perfil de administrador e pelo menos permissões de leitura e gravação escreva ou exclua arquivos arbitrários por meio de comandos CLI específicos.
Traduzido automaticamente do inglês.
Prazo CISA: 19 de out. de 2026
- Fortinet Multiple Products
- Moderada
- CVSS 5.4
- EPSS 1,08%
- Nenhuma versão corrigida informada
O que fazer
Nenhuma versão corrigida informada
- Ação exigida
- Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
- Prazo da CISA para agências federais dos EUA
- 19 de out. de 2026
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Fortinet FortiOS | de 7.6.0 até 7.6.4, inclusive; de 7.4.0 até 7.4.9, inclusive; de 7.2.0 até 7.2.13, inclusive; de 7.0.0 até 7.0.19, inclusive; de 6.4.0 até 6.4.16, inclusive | Nenhuma informada |
| Fortinet FortiProxy | de 7.6.0 até 7.6.4, inclusive; de 7.4.0 até 7.4.11, inclusive; de 7.2.0 até 7.2.16, inclusive; de 7.0.0 até 7.0.23, inclusive | Nenhuma informada |
| Fortinet FortiSwitchManager | de 7.2.0 até 7.2.7, inclusive; de 7.0.0 até 7.0.6, inclusive | Nenhuma informada |
| Fortinet FortiPAM | 1.7.0; de 1.6.0 até 1.6.2, inclusive; de 1.5.0 até 1.5.1, inclusive; de 1.4.0 até 1.4.3, inclusive; de 1.3.0 até 1.3.1, inclusive; 1.2.0; de 1.1.0 até 1.1.2, inclusive; de 1.0.0 até 1.0.3, inclusive | Nenhuma informada |
Notas e sinais
- Exploração
- Explorada ativamente
- Gravidade
- Moderada, CVSS 5.4 (v3.1, pontuado por fortinet)
- EPSS
- 1,08% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 23 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: ativa. Automatizável: não. Impacto técnico: total. Em 15 de out. de 2026.
- Fraqueza
- CWE-22: Escalation of privilege
- Fabricante
- Fortinet, Multiple Products
Linha do tempo
- Incluída no catálogo de vulnerabilidades exploradas da CISA: exploração ativa confirmada. Agências federais dos EUA devem corrigir até 2026-10-19.