Alerte cyber pour PME suisses : FortiGate – une faille administrateur activement exploitée donne un accès root
Les pare-feu FortiGate sont largement utilisés par les petites et moyennes entreprises, directement ou par l’intermédiaire d’un prestataire informatique. Depuis le 16 octobre 2026, la CISA répertorie CVE-2025-61624 parmi les vulnérabilités activement exploitées ; elle peut permettre à un administrateur FortiOS déjà privilégié d’obtenir le contrôle root de l’équipement.
Il ne s’agit pas d’une attaque sans authentification. Si votre entreprise utilise FortiGate, demandez dès maintenant à votre prestataire de contrôler la version de FortiOS, les accès privilégiés et les éventuels signes de compromission.
Que s’est-il passé ?
Fortinet décrit CVE-2025-61624 comme une faille de traversée de chemin dans l’interface en ligne de commande de FortiOS et d’autres produits. Un attaquant authentifié disposant d’un compte administrateur privilégié et de droits d’écriture peut s’en servir pour écrire ou supprimer des fichiers arbitraires.
Le 14 octobre 2026, Unit 42 a publié les détails d’une intrusion analysée. Après une compromission antérieure de FortiManager et l’obtention d’identifiants valides, les attaquants ont exploité CVE-2025-61624 pour passer de l’administration FortiOS restreinte aux droits root et déployer l’implant PEERSTITCH, actif uniquement en mémoire. La CISA a ajouté la vulnérabilité à son catalogue KEV le 16 octobre 2026.
Mon entreprise peut-elle être concernée ?
Oui, si votre entreprise ou son prestataire exploite des pare-feu FortiGate avec une version vulnérable de FortiOS. Sont concernés FortiOS 7.6.0 à 7.6.4, 7.4.0 à 7.4.9, ainsi que toutes les versions des branches 7.2, 7.0 et 6.4. FortiPAM, FortiProxy et FortiSwitchManager sont également concernés ; les plages exactes figurent dans l’avis de Fortinet.
L’exploitation nécessite déjà un compte administrateur privilégié. Le contrôle est donc particulièrement important lorsque les pare-feu sont gérés de manière centralisée avec FortiManager ou par un prestataire externe, ainsi qu’en cas de connexions administrateur suspectes ou d’incidents Fortinet antérieurs.
Que faut-il faire maintenant ?
Demandez aujourd’hui à votre prestataire informatique d’établir l’inventaire, de vérifier les versions et de rechercher une éventuelle compromission. FortiOS 7.6 doit être mis à jour au minimum vers 7.6.5 et FortiOS 7.4 au minimum vers 7.4.10. Les systèmes 7.2, 7.0 ou 6.4 doivent être migrés vers une version corrigée et prise en charge conformément aux recommandations de Fortinet.
Les comptes privilégiés, les voies de gestion centralisée et les journaux d’événements doivent aussi être examinés afin de détecter des modifications inhabituelles. Si FortiManager, des identifiants administrateur ou des éléments cryptographiques de confiance ont pu être exposés, une simple mise à jour du micrologiciel ne suffit pas : il faut une investigation de réponse à incident et un renouvellement contrôlé des identifiants, clés et certificats concernés.
Quel est le degré d’urgence ?
Élevé pour les systèmes FortiGate concernés, surtout en cas de gestion centralisée ou d’indices d’un détournement d’accès administrateur. La vulnérabilité n’obtient qu’un score CVSS moyen de 5.4, mais elle est effectivement utilisée dans des attaques réelles pour élever les privilèges jusqu’à root. Il ne s’agit pas d’une attaque autonome sans authentification : l’attaquant doit déjà disposer d’un accès FortiOS privilégié.
Informations pour votre prestataire informatique
CVE-2025-61624, CWE-22, CVSS v3.1 : 5.4. Chemin d’attaque : administrateur FortiOS authentifié et privilégié, avec au moins des droits d’écriture → traversée de chemin dans system.auto-script ou dans des commandes CLI existantes → écriture ou suppression arbitraire de fichiers en tant que root.
Branches FortiOS corrigées : 7.6.5 ou ultérieure et 7.4.10 ou ultérieure ; les anciennes branches vulnérables doivent être migrées vers une version corrigée. Pour FortiProxy : 7.6.5 ou ultérieure ou 7.4.12 ou ultérieure ; pour FortiPAM : 1.8.0 ou ultérieure ou 1.7.1 ou ultérieure ; pour FortiSwitchManager : 7.2.8 ou ultérieure ou 7.0.7 ou ultérieure. Les indicateurs et recommandations de détection de Unit 42 concernant PEERSTITCH doivent être intégrés à la recherche de compromission.
