CVE-2025-61624: fallo de gravedad media en Fortinet FortiOS
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene alerta oficial del gobierno de Brasil.
El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.
- CISC Gov.br · 20 oct 2026Boletim do CISC de Vulnerabilidadesleer en gov.br ↗
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Un administrador autenticado puede usar comandos específicos para escribir o eliminar archivos en cualquier lugar del sistema, omitiendo restricciones de directorio. Esto permite que un atacante con acceso de admin comprometa la integridad y estabilidad del dispositivo.
Vulnerabilidad de path traversal en productos Fortinet (FortiOS, FortiPAM, FortiProxy, FortiSwitchManager) permite que administradores autenticados con permisos de lectura-escritura escriban o eliminen archivos arbitrarios mediante comandos CLI que no validan adecuadamente las rutas. El ataque requiere credenciales de admin existentes; el impacto incluye manipulación no autorizada de archivos y compromiso potencial del sistema.
En el mismo producto, de las más peligrosas a las menos.