هم‌زمان با انتشار عمومی کدهای اثبات مفهومی برای آسیب‌پذیری بحرانی **CVE-2025-25257** در فایروال Fortinet FortiWeb، مهاجمان اکنون می‌توانند بدون هیچ احراز هویتی روی سرورهای آسیب‌پذیر کد دلخواه اجرا کنند؛ موضوعی که فورتینت را واداشته است به مدیران هشدار دهد هرچه سریع‌تر به نسخه‌های بروزرسانی شده ارتقا دهند تا از حملات قریب‌الوقوع جلوگیری شود.

ابزار خطرناک هکرها برای نفوذ به FortiGate با آسیب‌پذیری CVE‑2024‑55591 در دارک‌وب منتشر شده؛ حتی با وجود پچ، هزاران دستگاه هنوز در تیررس‌اند! اگر فورتی‌گیت‌تان به‌روز نیست، همین حالا زمان تقویت سنگر دیجیتال‌تان است.

Fortinet در اقدامی بحث‌برانگیز، از نسخه جدید FortiOS 7.6.3 به بعد قابلیت محبوب SSL VPN Tunnel Mode را حذف کرد. کاربران برای ادامه دسترسی ریموت، مجبور به Migrate به IPsec VPN هستند. این تغییر باعث واکنش‌های زیادی در بین مدیران شبکه و متخصصان امنیت شده است.

فورتی‌نت, یک روش جدید بهره‌برداری توسط مهاجمان را شناسایی کرده است که با استفاده از آسیب‌پذیری‌های شناخته‌شده، دسترسی Read-only به دستگاه‌های FortiGate ایجاد می‌کنند. در این خبر، جزئیات تهدید، نحوه شناسایی و اقدامات امنیتی ارائه شده است.

سیسکو یک مشکل امنیتی مهم را با حذف یک حساب پشتیبان از ابزار مجوزدهی هوشمند سیسکو (CSLU) حل کرده است که می‌تواند با با امتیازات مدیریتی به صورت غیرمجاز به سیستم‌های unpatched دسترسی پیدا کند.

آسیب‌پذیری جدید در OpenSSH که می‌تواند به اجرای کد از راه دور به عنوان کاربر ریشه در سیستم‌های لینوکس منجر شود

یک آسیب‌پذیری عبور از احراز هویت از طریق کلید کنترل شده توسط کاربر [CWE-639] در FortiOS و FortiProxy SSLVPN ممکن است به یک حمله‌کننده احراز هویت شده اجازه دهد تا از طریق دستکاری URL، به bookmarks کاربر دیگری دسترسی پیدا کند.

یک آسیب‌ پذیری نوشتن خارج از محدوده [CWE-787] و یک حمله به بافر با پشته [CWE-121] در Captive Portal FortiOS و FortiProxy ممکن است به یک حمله ‌کننده داخلی که دسترسی به Captive Portal دارد، اجازه دهد که از طریق درخواست‌های HTTP با ساختار خاص، کد یا دستورات دلخواه را اجرا کند.

یک آسیب‌پذیری کنترل نادرست در تولید کد ('تزریق کد') [CWE-94] در FortiClientLinux ممکن است به یک حمله‌کننده غیر احراز هویت اجازه اجرای کد دلخواه را از طریق فریب یک کاربر FortiClientLinux به بازدید از یک وب‌سایت مخرب بدهد.