Агентство по кибербезопасности и защите инфраструктуры США (CISA) включило две уязвимости в каталог Known Exploited Vulnerabilities (KEV). Этот перечень собирает проблемы, которые злоумышленники уже применяют в реальных атаках. Одна затрагивает продукты Fortinet: пользователь с правами записи может создавать и удалять файлы на устройстве. Другая касается BeyondTrust Remote Support, где файловые операции выполняются без учётной записи. Попадание в KEV означает подтверждённую эксплуатацию, а не теоретическую угрозу. Администраторам предприятий нужно проверить подконтрольные системы, даже если обновления уже установлены.
Обход пути в Fortinet и подмена источника в BeyondTrust
Уязвимость в продуктах Fortinet получила идентификатор CVE-2025-61624 и оценку 5,4 по CVSS 3.1. Проблема BeyondTrust Remote Support описана как CVE-2026-102764 с оценкой 9,3 по CVSS 4.0. Записи в базе CVE появились 14 апреля 2026 года и 15 октября 2026 года соответственно. О конкретных кампаниях CISA не сообщает. Однако включение в каталог подтверждает, что атаки уже идут.
Запись и удаление файлов в FortiOS и FortiProxy
Уязвимость относится к классу обхода пути (path traversal), когда приложение не ограничивает путь к файлу заданным каталогом. В продуктах Fortinet этого хватает, чтобы пользователь с административным профилем и правами чтения и записи выполнял через отдельные команды интерфейса командной строки запись или удаление произвольных файлов. Запись на периметровом устройстве позволяет подменить конфигурацию фильтрации или разместить собственные файлы в доступных каталогах. Удаление чаще ведёт к отказу в обслуживании и потере настроек. Требование высоких привилегий сужает круг атакующих. Однако украденная учётная запись администратора превращает уязвимость в инструмент закрепления в системе.
Затронуты FortiOS 7.6.0-7.6.4 и 7.4.0-7.4.9, а также ветки 7.2, 7.0 и 6.4. В линейке FortiProxy проблеме подвержены версии 7.6.0-7.6.4 и 7.4.0-7.4.11, все выпуски 7.2 и 7.0. FortiSwitchManager уязвим в диапазонах 7.2.0-7.2.7 и 7.0.0-7.0.6, FortiPAM - от 1.0 до 1.7.0. FortiPAM хранит привилегированные учётные записи, а FortiSwitchManager управляет коммутаторами доступа, поэтому оба компонента интересны атакующим. Список широкий, и инвентаризация занимает больше времени, чем установка обновления. Для многих организаций работы потребуют окна обслуживания, поскольку перечисленные продукты стоят на периметре.
Файловые операции без учётной записи в Remote Support
Вторая уязвимость находится во внутренних компонентах обмена сообщениями BeyondTrust Remote Support. Эти компоненты недостаточно проверяли источник входящих сообщений. Класс CWE-290 описывает обход аутентификации через подмену: одно внутреннее сообщение принимается как доверенное. При определённых условиях злоумышленник выполняет файловые операции на самом устройстве. Ни учётная запись, ни действия пользователя для этого не нужны, что подтверждает вектор CVSS 4.0 с нулевыми значениями привилегий и взаимодействия. Затронуты все версии продукта от 0 до 26.2.3 включительно, то есть почти весь диапазон выпусков.
Remote Support относят к средствам привилегированного удалённого доступа. Такое устройство обслуживает подключения к инфраструктуре заказчика, поэтому компрометация узла открывает путь к чужим сессиям и внутренним системам. Оценка 9,3 складывается из сетевого вектора атаки, отсутствия требований к привилегиям и полного влияния на конфиденциальность, целостность и доступность. Владельцам установок полезно проверить журналы на посторонние файловые операции: такие события фиксируются не полностью.
Обновление остаётся основным действием. Продукты Fortinet из перечисленных веток нужно привести к актуальным сборкам, BeyondTrust Remote Support - к версии новее 26.2.3. Доступ к интерфейсу управления стоит ограничить доверенными сетями. Учётные записи с правами записи на устройствах Fortinet следует пересмотреть и сократить. Журналы изменений файловой системы помогают найти следы эксплуатации за период до установки исправлений. Для федеральных агентств США включение в KEV задаёт обязательный срок устранения.
Разные оценки показывают, что каталог KEV строится не на баллах CVSS. Средний уровень 5,4 у Fortinet и критический 9,3 у BeyondTrust оказались в одном списке, потому что обе проблемы уже применяются. Для защиты важно не значение в векторе, а факт атаки и скорость установки исправлений. Каталог пополняется по факту эксплуатации, а не по тяжести последствий, и это меняет порядок приоритетов при планировании работ.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-102764
- https://www.cve.org/CVERecord?id=CVE-2025-61624
- https://fortiguard.fortinet.com/psirt/FG-IR-26-122
- https://www.beyondtrust.com/blog/entry/bt26-05
- https://beyondtrustcorp.service-now.com/csm?id=csm_kb_article&sysparm_article=KB0024066
- https://www.cisa.gov/news-events/alerts/2026/10/16/cisa-adds-two-known-exploited-vulnerabilities-catalog
