Une faille FortiOS, CVE-2025-61624, serait exploitée pour déployer PEERSTITCH, un malware ARM64 inédit qui reste en mémoire.

Une faille FortiOS est exploitée dans la nature par un acteur malveillant présumé avancé. Son objectif : installer PEERSTITCH, un malware jusqu’ici jamais documenté. Ce code malveillant cible l’architecture ARM64. Par ailleurs, il s’exécute directement en mémoire. Les équipes de sécurité qui gèrent des équipements Fortinet doivent donc suivre ce dossier de près.

Une faille FortiOS exploitée par un acteur avancé

Les chercheurs ont observé une campagne ciblée. Elle s’appuie sur une vulnérabilité du système d’exploitation de Fortinet. Toutefois, l’attaquant n’a pas été identifié publiquement. Il est simplement décrit comme un acteur sophistiqué. Il serait soupçonné de disposer de moyens importants.

Ce profil n’a rien d’anodin. En effet, les équipements de périmètre sont très prisés des groupes évolués. Ils se trouvent en bordure de réseau. Ainsi, ils voient transiter un trafic sensible. De plus, ils sont souvent moins bien supervisés que les postes de travail ou les serveurs.

CVE-2025-61624 : ce que l’on sait de la vulnérabilité

La vulnérabilité exploitée porte l’identifiant CVE-2025-61624. Son score CVSS s’élève à 5,4. Il s’agit d’une faille de type path traversal. Autrement dit, c’est un défaut de contrôle sur les chemins de fichiers. Elle se situe dans l’interpréteur de ligne de commande.

Plusieurs produits Fortinet sont concernés :

• FortiOS ;
• FortiPAM ;
• FortiProxy ;
• FortiSwitchManager.

Ce score de 5,4 correspond à une gravité moyenne. Cependant, il ne doit pas rassurer à l’excès. En effet, un score CVSS mesure la vulnérabilité prise isolément. Il ne reflète pas l’usage qu’en fait un attaquant expérimenté. Ici, la faille sert de point d’entrée à un implant furtif. Par conséquent, le risque réel dépasse nettement ce que suggère le chiffre.

Par ailleurs, les informations disponibles restent partielles. Les détails exacts de l’impact et des versions touchées figurent dans l’avis officiel de l’éditeur. Il convient donc de s’y référer avant toute décision.

PEERSTITCH : un implant ARM64 résident en mémoire

PEERSTITCH est décrit comme un malware résident en mémoire. Ce type d’implant s’exécute sans s’installer durablement sur le disque. Par conséquent, il laisse peu de traces pour les outils d’analyse classiques. Il complique également les investigations après coup.

De plus, il est conçu pour l’architecture ARM64. Ce choix montre que l’attaquant connaît bien le matériel visé. Il a adapté son outil à l’environnement des équipements ciblés. Il n’a donc pas recouru à un code générique.

D’après le titre de l’analyse, le malware contournerait également des vérifications appliquées aux sessions VPN étiquetées. Si cette capacité se confirme, elle serait préoccupante. En effet, une session VPN légitime inspire en général confiance. Un implant capable de passer entre les mailles de ces contrôles pourrait donc circuler discrètement. Toutefois, les mécanismes précis restent à documenter publiquement.

Enfin, la nature « inédite » de PEERSTITCH mérite d’être soulignée. Aucune famille de malware connue ne lui correspond à ce jour. Les signatures existantes risquent donc de ne rien détecter. La chasse aux menaces doit alors reposer sur le comportement des équipements.

Réduire les risques liés à la faille FortiOS

Les défenseurs disposent de leviers concrets. Aucun ne demande de technologie exotique. En revanche, ils exigent de la rigueur et de la rapidité.

• Corriger sans attendre. Consultez l’avis de Fortinet pour CVE-2025-61624. Appliquez ensuite les versions corrigées à tous les produits listés.
• Limiter l’accès d’administration. Par exemple, interdisez l’interface de gestion et la ligne de commande depuis Internet. Réservez-les à un réseau d’administration dédié.
• Auditer les comptes. Vérifiez les comptes administrateurs, les clés et les configurations récemment modifiées.
• Centraliser les journaux. Exportez les logs hors de l’équipement, car un attaquant avancé peut les altérer.
• Surveiller le comportement réseau. Repérez les connexions sortantes inhabituelles depuis les pare-feu et les passerelles VPN.

Un point mérite une attention particulière. Un implant en mémoire disparaît généralement au redémarrage. Pourtant, cela ne règle rien. En effet, la faille reste exploitable tant que le correctif manque. L’attaquant peut donc revenir. Un redémarrage ne doit jamais être considéré comme une remédiation complète.

Ce qu’il faut retenir

• CVE-2025-61624 est une faille de path traversal (CVSS 5,4) dans l’interpréteur de commandes de FortiOS, FortiPAM, FortiProxy et FortiSwitchManager.
• Un acteur avancé présumé l’exploite pour déployer PEERSTITCH, un malware ARM64 résident en mémoire, jusqu’ici inconnu.
• Le malware contournerait des contrôles sur les sessions VPN étiquetées, selon l’intitulé de l’analyse.
• Un score moyen ne signifie pas un risque faible. Par conséquent, appliquez les correctifs, restreignez l’administration et surveillez vos équipements de périmètre.

Source : PEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions